PHP Foundation blikt terug op een turbulente dag. Een massaal slagveld lijkt vermeden, maar de stichting voelde zich op snelheid gepakt bij het bekendmaken van de kwetsbaarheden.
Gisteren haalde twee kritieke kwetsbaarheden, die de naam PHP2Shell gekregen hebben, in de programmeertaal PHP het wereldnieuws. Wereldwijd gingen websites van overheidsinstellingen, ziekenhuizen, en nieuwsmedia preventief offline. De PHP Foundation, de stichting die de programmeertaal beheert, bracht op 21 oktober een noodpatch uit. In een blog blikt het terug op een turbulente dag.
Twee kwetsbaarheden in de kern
Wat was er precies aan de hand? De eerste kwetsbaarheid, CVE-2026-109618, ontstaat wanneer een verzoek het geheugenlimiet van PHP net op het verkeerde moment bereikt. Onvolledig geïnitialiseerde data blijven dan achter en worden later als geldig gebruikt. Op Apache met mod_php kan een ongeauthenticeerd verzoek dit activeren, met volledige externe codeuitvoering als gevolg.
De tweede kwetsbaarheid, CVE-2026-109619, ontstaat bij een fatale fout die interne status laat verwijzen naar geheugen van een vorig verzoek. Een latere aanvraag op dezelfde worker kan dat vrijgegeven geheugen gebruiken. Ook hier werd externe codeuitvoering aangetoond.
De kwetsbaarheden zitten in geheugenbeheer en foutafhandeling, onderdelen die bijna elk verzoek aanraakt. Die centrale rol maakte de fouten ernstig en moeilijk te dichten zonder compatibiliteit of prestaties te schaden.
Vertraagde patch
PHP Foundation krijgt kritiek op hoe het met de kwetsbaarheden is omgesprongen. Het zou immers al twee jaar op de hoogte zijn geweest van minstens één kwetsbaarheid, maar die nooit hebben gepatcht. In 2024 vond een door Quarkslab uitgevoerde audit de eerste signalen van het geheugenprobleem. Er was toen geen bekend aanvalspad, en andere problemen kregen voorrang. Toen het securityteam de oplossingen afwoog, bleek elke optie nadelig voor compatibiliteit of prestaties.
Het PHP-project erkent in de blog dat de vertraging een structurele fout was, door zowel het besluitvormingsproces als een tekort aan middelen. Sinds mei 2026 bestaat het Ecosystem Security Team, en beslissingen moeten voortaan bij meerderheid kunnen vallen. PHP vraagt aan zakelijke gebruikers van de programmeertaal om hun financieel steentje bij te dragen om kwetsbaarheden sneller te kunnen patchen.
Knullige bekendmaking
Toch vindt PHP Foundation zich niet de enige schuldige in het verhaal. Het wijst ook met beschuldigende vinger naar Chainguard, het bedrijf dat gisteren de kat aan de bel bond. Op dinsdag 20 oktober begonnen eerste berichten over de kwetsbaarheden op forums en sociale media te circuleren, met een foute releasetijd en een eveneens foute CVSS-score van 10 (de werkelijke CVSS-score is met 9,2 nog steeds kritiek). Cloudflare zag vanaf 21 oktober de eerste aanvallen plaatsvinden en nam een tijdelijke noodmaatregel. PHP moest daardoor sneller aan de bak.
Chainguard publiceerde ruim zes uur voor de werkelijke release eenzijdig gebouwde images met de fix. PHP2Shell werd prompt wereldnieuws en het was bang afwachten tot de release van de patch, die om 16u CET volgde. Het PHP-project verwijt Chainguard het embargo te doorbreken, wat weken werk van veel partijen ondermijnde.
Dat vindt ook Vincent Ginis, professor in AI aan de Vrije Universiteit Brussel (VUB). “De patch werd met een zekere knulligheid bekendgemaakt aan de wereld. De periode waarin de kwetsbaarheid publiek bekend is en nog niet opgevangen is, kan extreem gevaarlijk zijn”, zegt hij aan vrtnws. Experten zien dat de tijd tussen bekendmaking van een kwetsbaarheid en de uitbuiting ervan drastisch is teruggedrongen, van maanden tot enkele uren.
In een LinkedIn-post verdedigt Chainguard CEO Dan Lorenc de beslissing. “Onthulling van dit type kwetsbaarheden gaat zelden feilloos. “Dit is helaas het nieuwe normaal voor de sector, en we zullen als één team moeten samenwerken om onze kritieke infrastructuur snel genoeg te beveiligen, zodat we kunnen voorkomen dat aanvallers daadwerkelijke schade aanrichten.” Hij verontschuldigt zich voor de ‘extra stress’ die hij PHP Foundation heeft bezorgd voor het uitrollen van de patch.
Slagveld lijkt vermeden
PHP draait een groot deel van het web, van overheidsdiensten en webwinkels tot banken en mediasites. Toch rust het beveiligingswerk nog altijd op enkele door de Foundation gefinancierde ontwikkelaars en wat vrijwilligers. Het project roept bedrijven, hostingproviders en overheden op om structureel bij te dragen aan het onderhoud.
Een halve dag na het uitrollen van de patch lijkt een slagveld vermeden. Er zijn tot heden nog geen nieuwsberichten over grootschalige PHP2Shell-hacks bekend. De klok blijft wel verder tikken totdat iedere website die gebruik maakt van P2P de patch heeft doorgevoerd.
De race start dan ook nu pas. PHP heeft de bug weggewerkt, maar het is aan beheerders om ervoor te zorgen dat ze de recentste versie van PHP draaien. Aanvallers zullen nu in grote getalen opzoek gaan naar servers waar de achterpoort nog wel op een kier staat.