AI-modellen van OpenAI en Google vinden kritiek PHP-lek bij miljoenen sites

PHP is een van de meest gebruikte programmeertalen voor websites. Grote delen van het internet, van webshops tot contentsystemen zoals WordPress, draaien er op. Een fout in de kern van die taal kan daardoor gevolgen hebben voor een enorm aantal sites tegelijk. Precies zo'n fout is nu aan het licht gekomen, dankzij AI-modellen die speurden naar zwakke plekken voordat aanvallers die konden vinden.

AI spoort het lek op vóór aanvallers

GPT-5.6 Sol, het model van OpenAI, ontdekte de kwetsbaarheid als onderdeel van het zogeheten Patch-the-Planet-initiatief. OpenAI noemt het een van de belangrijkste beveiligingsproblemen van de afgelopen tijd. Beveiligingsbedrijf Wiz vond onafhankelijk dezelfde fout, met behulp van zijn eigen analyseplatform Wiz Atlas in combinatie met Gemini 4 Argon van Google en hetzelfde model van OpenAI. Volgens Wiz bleek Gemini 4 Argon bijzonder bruikbaar: het model hielp niet alleen bij het vinden van de kwetsbaarheid, maar ook bij het bouwen van een werkend exploit, het ontwikkelen van detectiemethoden en het controleren of de uiteindelijke reparatie goed werkte. Inmiddels staat er een gratis tool op GitHub waarmee beheerders van servers kunnen checken of hun PHP-versie risico loopt.

Dezelfde techniek maakt aanvallen makkelijker

Het nieuws heeft een keerzijde. Wiz waarschuwt dat een exploit die normaal maar op één specifieke PHP-installatie werkt, vroeger veel handwerk kostte om aan te passen aan andere versies en instellingen. AI-modellen kunnen die aanpassing nu automatisch doen, voor uiteenlopende PHP-versies, configuraties en geheugenstructuren. Daardoor wordt het voor aanvallers ineens haalbaar om kwetsbaarheden te misbruiken die eerder te omslachtig leken om uit te buiten. Dezelfde technologie die helpt bij het dichten van gaten, verlaagt dus ook de drempel om ze te misbruiken.

Blauwdruk voor toekomstige reparaties

De reparatie van het PHP-lek was geen eenvoudige klus. Het kostte ruim twee maanden en verliep in vijf fasen, met inbreng van PHP-ontwikkelaars, Wiz, netwerkbedrijf Cloudflare en Amerikaanse overheidsinstanties, waaronder cyberwaakhond CISA en het Witte Huis. OpenAI wil dit proces nu als vast stramien gebruiken voor toekomstige gevallen waarin AI een grote kwetsbaarheid blootlegt. Het bedrijf verwacht dat dit soort vondsten, op de schaal van het nu gevonden lek, de komende maanden flink zal toenemen. Dat betekent meer kansen om fouten snel te verhelpen, maar ook meer druk op ontwikkelaars om bij te blijven met een tegenstander die net zo goed met AI kan werken.