Artificiële intelligentie vindt een veertien jaar oud lek op zeventig procent van alle websites.
Brussel, woensdag, 21 oktober 2026. AI ontdekte gisteren een veertien jaar oud veiligheidslek in programmeertaal PHP. Omdat zeventig procent van de websites PHP gebruikt, moeten beheerders direct updaten om hackers voor te blijven.
Digitale noodtoestand vanuit de Verenigde Staten
In de Verenigde Staten en wereldwijd luiden beveiligingsexperts de noodklok over het ernstige ‘php2shell’-veiligheidslek [2][6]. Zoals eerder gemeld haalden Nederlandse organisaties uit voorzorg al cruciale systemen offline [7]. Het lek bevindt zich in de programmeertaal PHP, die de basis vormt voor 70 procent van alle websites op het internet [1][2]. De Amerikaanse overheidsdienst NSA adviseerde op woensdag 21 oktober 2026 om kwetsbare systemen onmiddellijk offline te halen als beheerders niet direct kunnen updaten [2]. Voor Nederlandse internetgebruikers betekent dit acute hinder: van onbereikbare overheidsdiensten tot webshops die uit voorzorg de deuren sluiten [2][7].
AI als speurneus én digitale brandversneller
Kunstmatige intelligentie ontdekte deze digitale tijdbom [1]. Onderzoekers van OpenAI en Wiz vonden de twee kwetsbaarheden, bekend onder de namen CVE-2026-109618 en CVE-2026-109619, in augustus 2026 met behulp van AI-modellen zoals GPT-5.6 Sol [6]. De fout zat al veertien jaar onopgemerkt in de code [1][6]. Het mes snijdt echter aan twee kanten. AI helpt niet alleen bij het opsporen van fouten, maar stelt kwaadwillenden ook in staat om binnen enkele minuten geautomatiseerde aanvallen uit te voeren [1][2]. Beveiligingsbedrijf Palo Alto Networks identificeerde wereldwijd al 22,6 miljoen kwetsbare PHP-systemen [3][6].
Miljoenen websites blijven onbeschermd
De PHP Foundation bracht op 21 oktober 2026 een noodupdate uit om het probleem op te lossen [2][6]. Toch is het gevaar niet geweken. Analysebureau Cisco Talos schat dat zo’n 50 procent van alle PHP-systemen nooit een officiële patch zal ontvangen vanwege verouderde, niet-ondersteunde software [2]. Grote bedrijven dichten het gat snel, maar kleine webwinkels en verenigingen reageren vaak te traag [1]. Cloudflare registreerde vlak voor het uitkomen van de update al de eerste aanvalsgolven van hackers [2][6]. Wie niet snel schakelt, riskeert dat criminelen er met gevoelige gegevens vandoor gaan [2].