Black October PHP-fout: AI veroorzaakt cyberchaos

Beveiligingsexperts spreken van een nieuw tijdperk van AI-aangedreven hacking, nadat onderzoekers met kunstmatige intelligentie kritieke fouten vonden in PHP, de programmeertaal achter naar schatting 70% van alle websites. De onthullingen over de Black October PHP-fout veroorzaakten binnen 48 uur een wereldwijde haast om systemen te patchen. Bestuurders waarschuwen voor een 'vulnerability tsunami' die diepere zwaktes in de internetinfrastructuur blootlegt.

Wat is de Black October PHP-fout?

Black October verwijst naar oktober 2026, toen meerdere grote beveiligingsincidenten samenvielen en de rol van AI in kwetsbaarheidsonderzoek duidelijk werd. De ernstigste waren twee PHP-kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, samen PHP2Shell genoemd. Ze maken niet-geauthenticeerde remote code execution mogelijk: aanvallers kunnen servers overnemen zonder inloggegevens. De fouten bleven mogelijk jaren ongepatcht in het brede PHP-webframework-ecosysteem. Volgens beveiligingsrapporten over Black October registreerde Cloudflare duizenden exploitpogingen vóór de onthulling, oplopend tot miljoenen binnen enkele uren. Wiz noemde de bugs een van de ernstigste in de softwaregeschiedenis.

Hoe AI het vinden van kwetsbaarheden versnelde

Onderzoekers van Google's Wiz en beveiligingsbedrijf Calif gebruikten in augustus AI-modellen van OpenAI en Google om de PHP-fouten op te sporen. De systemen analyseerden codepatronen op een schaal die voor menselijke reviewers onmogelijk is en markeerden geheugen- en invoerfouten die jarenlang aan audits ontsnapten. Dat benadrukt een dilemma: dezelfde AI versnelt verdediging én verlaagt de drempel voor aanvallers. AI-gedreven tools voor kwetsbaarheidsdetectie maken van routinematig beheer een permanente noodsituatie, aldus de sector.

Wereldwijde reactie: een 'vulnerability tsunami'

Binnen 48 uur patchten IT-teams bij overheden, onderwijs, big tech en banken hun productieservers. De Amerikaanse NSA drong aan op onmiddellijke patching; enkele Amerikaanse en Britse sites gingen tijdelijk offline. Salesforce-CEO Marc Benioff sprak van een 'code red'. Jason Clinton van Anthropic voorspelde een 'vulnerability tsunami' die eerst nog 'veel erger' wordt. Oud-CISA-directeur Chris Krebs zei tegen CNBC dat 3% van alle ooit gevonden kritieke kwetsbaarheden in de afgelopen maand werd ontdekt, en dat kleine bedrijven constant moeten scannen, snel patchen of legacy-systemen offline halen. De bescherming van kritieke infrastructuur wereldwijd staat voor lastige keuzes.

Belangrijkste kwetsbaarheden van Black October

• PHP2Shell (CVE-2026-109618, CVE-2026-109619): niet-geauthenticeerde remote code execution in PHP.
• eMudhra intermediate CA-certificaten: zwakke privésleutels dwongen Chrome en Firefox tot noodmaatregelen.
• Oracle E-Business Suite: niet-geauthenticeerde SQL-injectie (CVE-2026-101767).
• LiteLLM-supplychainaanval via kwaadaardige PyPI-pakketten en Docker-images.

Experts en waarschuwingen

Cloudflare-CEO Matthew Prince verwacht dat de komende twee jaar 'ongelooflijk zwaar' worden. OpenAI's Sam Altman waarschuwde dat 'niet alle bugs te patchen zijn' en benadrukte veerkracht boven vertrouwen op patches. Het CISA-advies over cybersecurity beveelt zero-trustarchitecturen en netwerksegmentatie aan.

FAQ: Black October PHP-fout en AI-cybersecurity

Wat is de Black October PHP-fout?

Black October verwijst naar oktober 2026, toen de PHP2Shell-kwetsbaarheden niet-geauthenticeerde remote code execution mogelijk maakten op servers met PHP.

Hoe heeft AI de PHP-kwetsbaarheden blootgelegd?

Onderzoekers gebruikten AI-modellen van OpenAI en Google om PHP-broncode op schaal te analyseren en fouten te markeren die menselijke audits jarenlang misten.

Welke systemen waren getroffen?

Circa 70% van alle websites gebruikt PHP, waardoor overheden, banken, onderwijs en technologie risico liepen. Cloudflare zag exploitpogingen in uren groeien van duizenden naar miljoenen.

Kunnen alle fouten worden gepatcht?

Nee. Experts waarschuwen dat niet alle bugs te patchen zijn, vooral in legacy- of embedded systemen. Netwerksegmentatie en zero-trust zijn essentieel.

Wat moeten organisaties nu doen?

Constant scannen, PHP en andere getroffen software direct patchen en ongepatchte legacy-systemen offline halen, aldus Chris Krebs.

Conclusie: een nieuw normaal voor internetbeveiliging

Black October is een keerpunt. Nu AI het vinden van bugs versnelt, groeit de kloof tussen wat misbruikt en wat gepatcht kan worden. De uitdaging rond software-supplychainbeveiliging vraagt om continu scannen, snellere patchcycli en architectonische veerkracht. Behandel kwetsbaarheidsbeheer in het AI-tijdperk als een permanente noodsituatie.