Een ernstige kwetsbaarheid in PHP en een aanval op infrastructuurplatform Railway laten twee verschillende risico’s voor websites en webapps zien. Bij PHP hielp een AI-model om een oude, lastig te misbruiken fout bruikbaar te maken. Bij Railway kreeg een onbevoegde partij mogelijk toegang tot API-sleutels van klanten.
Een oude PHP-fout met nieuwe gevolgen
PHP draait onder veel websites en systemen, waaronder WordPress, Wikipedia en Drupal. De kwetsbaarheid zit al zo’n veertien jaar in de software: volgens Cloudflare zijn PHP 5.4 en latere versies getroffen. Misbruik vroeg tot nu toe een uitzonderlijk ingewikkelde reeks stappen.
Volgens OpenAI vond beveiligingsbedrijf Calif de fout met OpenAI’s AI-model GPT-5.6 Sol, en ontdekte Wiz hem onafhankelijk daarvan. Ontwikkelaars kregen een hulpmiddel om kwetsbare PHP-versies op te sporen. Verschillende websites gingen tijdelijk offline om de beveiligingsupdates door te voeren.
Het punt hier: AI kan de drempel verlagen om complexe fouten te misbruiken. Een fout waar aanvallers jarenlang weinig mee konden, wordt dan ineens een serieus risico.
Van duizenden naar miljoenen aanvalspogingen
Cloudflare-topman Matthew Prince beschreef hoe snel het aantal aanvalspogingen opliep. Vóór de publieke bekendmaking ging het om duizenden pogingen, kort daarna om tienduizenden en binnen enkele uren om honderdduizenden. Later liep het op tot miljoenen.
De uiteindelijke schade zou relatief beperkt zijn gebleven, afgezien van de tijdelijke uitval van websites. Beveiligingsbedrijf Wiz rekent de kwetsbaarheid tot de ernstigste die ooit in PHP zijn gevonden, en mogelijk zelfs in de softwaregeschiedenis.
Railway: mogelijk toegang tot API-sleutels
Bij een aparte aanval op Railway kreeg een onbevoegde partij mogelijk toegang tot versleutelde omgevingsvariabelen. In sommige gevallen is ook de ontsleutelde inhoud buitgemaakt.
Railway levert infrastructuur voor onder meer de backend en databases van webapps. In omgevingsvariabelen staan vaak API-sleutels waarmee een app diensten als OpenAI of Anthropic gebruikt. Wie zo’n sleutel in handen krijgt, kan die diensten mogelijk gebruiken op jouw kosten.
Draait je app op Railway, dan moest je daarom getroffen sleutels vervangen en de oude uitschakelen.
Twee soorten risico
De incidenten raken twee kanten van beveiliging: softwarefouten repareren en geheime toegangsgegevens beschermen. Volgens het voorlopige incidentrapport van Railway had de aanvaller waarschijnlijk toegang tot ‘abliterated’ AI-modellen, waaruit de ingebouwde weigeringen zijn verwijderd. Dat die modellen de aanval zelf hebben uitgevoerd, staat daarmee niet vast.