Binnen enkele uren na de bekendmaking van nieuwe PHP-kwetsbaarheden waren er al miljoenen pogingen om die uit te buiten, blijkt uit een analyse van Cloudflare die WIRED aanhaalt. De kwetsbaarheden, gezamenlijk PHP2Shell genoemd, zetten beveiligingsteams en webbeheerders ertoe aan snel patches uit te brengen.
Tot nu toe is er geen grootschalig datalek gemeld. De PHP Foundation zegt geen succesvolle exploitatie van de bugs te hebben gezien, en veel exploits die openbaar circuleren lijken niet te werken. WIRED vermeldt niet om welke PHP-versies het gaat en geeft geen instructies voor patches.
AI hielp onderzoekers een ingang te vinden
Onderzoekers van beveiligingsbedrijf Calif ontdekten de kwetsbaarheden en bouwden begin augustus exploits, mede met behulp van geavanceerde AI-tools via OpenAI’s Patch the Planet-programma. Ook hun menselijke expertise op het gebied van PHP speelde een rol. Onderzoekers van OpenAI en het door Google overgenomen Wiz ontdekten later onafhankelijk van elkaar PHP2Shell-kwetsbaarheden met AI-tools.
Sommige onderliggende problemen waren al in 2024 vastgesteld, maar werden toen te moeilijk geacht om uit te buiten. Wiz-onderzoeker Sagi Tzadik zei dat het PHP-team al jaren van de kwetsbaarheid wist, maar er niets aan had gedaan omdat een menselijke aanvaller er geen misbruik van kon maken. AI hielp een voorheen onpraktische kwetsbaarheid bruikbaar te maken.
Meer druk, geen automatische hack
De zaak laat zien hoe AI de analyse en exploitatie van kwetsbaarheden kan versnellen, waardoor de druk toeneemt op beveiligingsteams die al grote aantallen kwetsbaarheden beheren. WIRED merkt op dat de beveiligingsupdates van Microsoft die maand een recordaantal van 1,453 kwetsbaarheden bevatten en dat Bank of America 1,000 consultants inhuurde om kwetsbaarheden aan te pakken die met Mythos van Anthropic waren gevonden.
Onderzoekers die WIRED aanhaalt, waarschuwen ervoor ervan uit te gaan dat AI elke oude bug zal opsporen. Calif-onderzoeker Ryan Austin zei dat geen enkel model met eenvoudige prompts alle bugs kan vinden; andere experts benadrukten dat voor de ontdekking rond PHP een deskundig team nodig was. Een onderzoeker merkte ook op dat PHP door zijn brede aanwezigheid op internet een ongebruikelijk doelwit is — geen bewijs dat elke oude softwarefout binnenkort uit te buiten is.
Waarom het ertoe doet
Voor beheerders van PHP-systemen is het relaas van WIRED een reden om openbaar gemaakte kwetsbaarheden serieus te nemen: de pogingen kwamen snel op gang, ook al zijn er geen succesvolle aanvallen gemeld. WIRED vermeldt niet om welke versies het gaat en welke patches nodig zijn. Beheerders zullen daarom de officiële PHP-richtlijnen moeten raadplegen, in plaats van zelf af te leiden of hun systemen kwetsbaar zijn.
