PHP Foundation ontdekte kritieke bug waardoor internet woensdag ‘plat lag’ al twee jaar geleden
Kwetsbaarheden blijven geregeld een tijd liggen bij ontwikkelaars. Het komt echter niet vaak voor dat de eerste aanwijzingen voor een ernstig lek al twee jaar voor de openbare onthulling opduiken. De PHP Foundation geeft nu toe dat CVE-2026-109618, een out-of-memorybug die deel uitmaakt van PHP2Shell, al in 2024 in beeld kwam. De impact en een concrete aanvalsmethode waren toen nog niet duidelijk. Een combinatie van beperkte capaciteit, lastige technische keuzes en een gebrek aan financiering zorgde ervoor dat een oplossing uitbleef.
De vertraging heeft deels te maken met de manier waarop het PHP-team in 2024 met het probleem omging. De bug kwam aan het licht toen een PHP-kernontwikkelaar die voor de PHP Foundation werkte, meewerkte aan het oplossen van een ander probleem uit een externe beveiligingsaudit. Een mogelijke aanval werd al besproken, maar concrete manieren om de kwetsbaarheid uit te buiten ontbraken. Andere problemen met een duidelijkere impact kregen daarom voorrang.
Bij latere pogingen om de bug te dichten, dook telkens een nieuw probleem op. Een mogelijke oplossing maakte bijvoorbeeld een nieuwe denial-of-service-aanval mogelijk. Andere oplossingen vereisten dan weer aanpassingen aan PHP-extensies van derden. Ook dreigde de compatibiliteit met oudere PHP-versies in het gedrang te komen.
Te veel gezocht naar consensus
De PHP Foundation geeft toe dat het team voor elke oplossing consensus probeerde te bereiken. Dat leidde tot flinke vertragingen bij het oplossen van de bug. Onder de streep ligt de vertraging dus niet alleen bij de technische complexiteit: het besluitvormingsproces werkte ook niet goed. Doordat het team telkens overeenstemming probeerde te bereiken over de voor- en nadelen van oplossingen, viel het werk maandenlang stil en werd het daarna weer opgepakt.
Van zulke eindeloze discussierondes zegt de PHP Foundation komaf te willen maken. In plaats van voor elke beslissing consensus te zoeken, wil het team voortaan ruimte maken voor meerderheidsbesluiten. Zo hoopt de organisatie belangrijke problemen sneller aan te pakken. Tegelijk vraagt de PHP Foundation om extra financiering om meer ontwikkelcapaciteit aan te trekken. Daarvoor kijkt ze naar hostingbedrijven, cloudplatformen, overheden en andere publieke instellingen.
PHP2Shell werd al vier dagen aangevallen
Ook de manier waarop de kwetsbaarheden naar buiten kwamen, verdient aandacht. Amazon Threat Intelligence meldt dat het op 17 oktober al een aanvalspoging opving in zijn ‘MadPot-honeypot’, vier dagen voor de publieke bekendmaking. De poging kwam van een IP-adres dat gekoppeld is aan een commerciële anonimiseringdienst. Hoe de aanvaller vóór de bekendmaking aan informatie over de kwetsbaarheid kwam, is nog onduidelijk.
Ook andere beveiligingsbedrijven zagen pogingen tot misbruik. Hadrian meldde voor de release grootschalige pogingen, terwijl Cloudflare en Patchstack op de dag van de release aanvallen waarnamen. De PHP Foundation zegt dat informatie over de kwetsbaarheden twee dagen voor de geplande publicatie online opdook. Een video met een werkende proof-of-concept werd vervolgens per ongeluk vroegtijdig gepubliceerd. Ook bracht een leverancier ruim zes uur voor de afgesproken bekendmaking bijgewerkte binaries naar buiten.
Inmiddels melden beveiligingsbedrijven grootschalige pogingen tot misbruik. Niet van alle waargenomen aanvallen is duidelijk of ze succesvol waren. Voor de ondersteunde PHP-versies zijn patches beschikbaar in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. PHP 8.1 en oudere versies vallen buiten de reguliere ondersteuning, al zijn er voor PHP 7.4, 8.0 en 8.1 backports beschikbaar. Wie een kwetsbare PHP-installatie beheert, doet er dus goed aan zo snel mogelijk te controleren of de juiste patch is toegepast.
