OpenAI-model ontdekt kritiek PHP-lek dat 70% van het web raakt

25 oktober 2026 · 07:00 · Claude (Anthropic) · claude-sonnet-5

OpenAI's AI-model GPT-5.6 Sol spoorde binnen het 'Patch the Planet'-initiatief een kritieke PHP-kwetsbaarheid op, genaamd php2shell, die mogelijk zo'n 70% van alle websites wereldwijd kon treffen. Experts waarschuwen dat dit soort AI-gestuurde kwetsbaarheidsjacht een nieuw, chaotisch tijdperk in cybersecurity inluidt.

Een OpenAI PHP-kwetsbaarheid zorgt deze week voor onrust in de techwereld. Het AI-model GPT-5.6 Sol van OpenAI heeft een kritiek beveiligingslek blootgelegd in PHP, de programmeertaal die naar schatting 70 procent van alle websites ter wereld draait. Het gaat om een van de meest geruchtmakende demonstraties tot nu toe van wat kunstmatige intelligentie kan betekenen voor zowel de verdediging als de aanval in cybersecurity.

Wat is er precies ontdekt?

De kwetsbaarheid, inmiddels bekend als php2shell, bestaat uit twee afzonderlijke lekken die geregistreerd staan als CVE-2026-109618 en CVE-2026-109619. Onderzoekers van het beveiligingsbedrijf Calif vonden het probleem in augustus 2026 met behulp van het geavanceerde AI-model van OpenAI, als onderdeel van het zogeheten Patch the Planet-initiatief. Dit programma is opgezet om AI-modellen gericht in te zetten op het opsporen van kritieke softwarefouten voordat kwaadwillenden dat zelf doen.

Wat de ontdekking extra opvallend maakt: het ging om een bug die al twee jaar in de PHP-code sluimerde en eerder door menselijke ontwikkelaars over het hoofd was gezien. Met hulp van AI werd deze binnen twee weken omgezet in een werkende exploit. Als de kwetsbaarheid door kwaadwillenden was misbruikt, hadden zij zonder wachtwoord of andere inloggegevens volledige controle kunnen krijgen over kwetsbare webservers.

Snel gepatcht, maar het web staat op scherp

Na melding bij de PHP Foundation, de non-profitorganisatie achter de programmeertaal, volgde er direct actie. Op 21 oktober 2026 werden de kwetsbaarheden openbaar gemaakt via GitHub-beveiligingsadviezen, gelijktijdig met de release van gepatchte versies: PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Bedrijven en overheidsinstanties over de hele wereld hebben zich sindsdien gehaast om hun systemen bij te werken, nog voordat kwaadwillenden de kans kregen de fout zelf te misbruiken.

Toch is het verhaal daarmee niet afgesloten. Michael Daniel, voorzitter van de Cyber Threat Alliance en voormalig cybersecuritycoördinator in het Witte Huis onder president Obama, waarschuwt dat dit pas het begin is. Volgens hem markeert deze episode het begin van een chaotische periode in de wereld van digitale beveiliging, nu geavanceerde AI-modellen in staat zijn om kwetsbaarheden sneller en op grotere schaal te vinden dan ooit tevoren.

Het dilemma: snel patchen versus zorgvuldig testen

De komst van AI-gestuurde kwetsbaarheidsjacht plaatst bedrijven voor een lastig dilemma. Enerzijds is snelheid cruciaal: hoe langer een lek openbaar maar ongepatcht blijft, hoe groter het risico dat aanvallers er met behulp van diezelfde AI-technologie misbruik van maken. Anderzijds betekent haastig patchen dat organisaties minder tijd hebben om updates grondig te testen voordat ze live gaan, wat weer nieuwe risico's op instabiliteit of onverwachte bijwerkingen met zich meebrengt.

Dit spanningsveld wordt door experts omschreven als technische schuld die zich opstapelt: jarenlang onopgemerkte fouten in fundamentele software komen nu versneld aan het licht, precies op het moment dat ook aanvallers steeds vaker AI-tools inzetten om zelf naar zwakke plekken te zoeken. Het is een ontwikkeling die raakt aan bredere vraagstukken rond de verantwoorde inzet van AI, een thema dat ook uitgebreid aan bod komt in de geschiedenis van kunstmatige intelligentie, waarin te lezen is hoe AI zich ontwikkelde van een academisch experiment tot een technologie die nu zelf digitale infrastructuur doorgrondt.

Wat betekent dit voor de toekomst van cybersecurity?

De ontdekking van het php2shell-lek laat zien dat AI-modellen als GPT-5.6 Sol inmiddels serieus inzetbaar zijn voor complexe technische taken zoals het analyseren van broncode op kwetsbaarheden. Dat opent deuren voor defensieve toepassingen, maar evenzeer voor offensieve doeleinden in handen van criminelen. Voor bedrijven en ontwikkelaars betekent dit dat beveiligingsprocessen fundamenteel herzien moeten worden: patchmanagement, monitoring en respons zullen zich moeten aanpassen aan een tempo dat voorheen ondenkbaar was.

Wie meer wil weten over hoe grote techbedrijven AI inzetten buiten de voor de hand liggende toepassingen zoals chatbots, vindt een breed overzicht op de pagina over AI-toepassingen. Voor wie dit soort ontwikkelingen op de voet wil blijven volgen, is meer AI-nieuws de plek om terug te komen, en voor achtergrondinformatie over AI-concepten en -technieken is onze kennisbank een goed startpunt.

Conclusie

De ontdekking van het kritieke PHP-lek door een OpenAI-model is meer dan een incidentele nieuwskop: het is een duidelijk signaal dat AI het speelveld van cybersecurity fundamenteel verandert. Terwijl deze keer de verdedigers een stap voor waren, waarschuwen experts dat de balans tussen aanval en verdediging in de komende jaren voortdurend op scherp zal staan. Organisaties die nu niet investeren in snellere detectie- en patchprocessen, lopen het risico dat de volgende grote kwetsbaarheid niet door onderzoekers, maar door kwaadwillenden met AI wordt gevonden.

The Japan Times

Bron: The Japan Times