PHP Foundation hervormt beveiligingsteam na structurele mislukking

Trage besluitvorming en de ontdekking van de fouten

De oorsprong van CVE-2026-109618 – de zogeheten out-of-memory (OOM) kwetsbaarheid – werd al in 2024 ontdekt door een PHP-coreontwikkelaar na een externe audit door Quarkslab en OSTIF, gefinancierd door de Duitse Sovereign Tech Agency. Hoewel het probleem destijds theoretisch werd vastgesteld, liep het herstelproces vast. Verschillende voorgestelde oplossingen brachten ingrijpende concessies met zich mee, zoals het breken van achterwaartse compatibiliteit of het vereisen van aanpassingen aan talloze extensies van derden. Het beveiligingsteam, dat werkte op basis van volledige consensus en beschikte over een beperkte capaciteit aan ervaren ontwikkelaars, durfde geen definitieve keuze te maken.

De PHP Foundation noemt deze vertraging eerlijk een "structurele mislukking". Het dossier kwam pas in een stroomversnelling toen de beveiligingsfirma Calif op 11 augustus 2026 een bruikbare RCE-exploit meldde, op dezelfde dag onafhankelijk gevolgd door meldingen van OpenAI en later door Wiz Research. De combinatie van deze rapporten maakte de acute impact van het lek duidelijk, waarna het herstel de hoogste prioriteit kreeg.

Lekken en het schenden van het embargo

Het gecoördineerde proces rond de bekendmaking verliep tot twee dagen voor de geplande releasedatum volgens plan, maar raakte daarna verstoord door een reeks incidenten:

• 10.0-score op sociale media: Op 20 oktober begonnen de twee CVE-nummers te circuleren op fora en sociale media met een foutieve, verhoogde CVSS-score van 10.0 (in plaats van de werkelijke 9.2). Dit dwong het PHP-project om de pre-aankondiging naar voren te halen en de releasedatum een dag te vervroegen naar 21 oktober.
• Per ongeluk gepubliceerde video: Als reactie op de pre-aankondiging publiceerde beveiligingsbedrijf Calif per abuis een video met een proof-of-concept (PoC) tegen diverse doelen. Hoewel de video snel werd verwijderd, bleven kopieën online circuleren, wat de ontwikkeling van werkende exploits door derden versnelde.
• Embargobreuk door Chainguard: Op 21 oktober om 07:41 UTC – meer dan zes uur voor de officiële release – verbrak distributeur Chainguard eenzijdig het embargo door gebouwde images met de fix te publiceren. Aangezien Chainguard de patch vooraf vertrouwelijk had ontvangen om klaar te staan voor de release, konden kwaadwillenden de oplossing in binaire vorm analyseren terwijl de rest van het PHP-ecosysteem nog op de officiële patch wachtte. Chainguard CEO Dan Lorenc ontkent deze gang van zaken in The Register en dat het niet heeft gelekt.

Professionele herstructurering en AI-uitdagingen

Om herhaling te voorkomen en de stroom van meldingen beheersbaar te houden, heeft de PHP Foundation haar beveiligingsorganisatie de afgelopen maanden ingrijpend aangepast. In mei 2026 werd het Ecosystem Security Team opgericht, versterkt met onder meer een AI Security Engineer in Residence en dedicated ontwikkelaars voor triage en hardening. Het besluitvormingsproces is gewijzigd van strikte consensus naar meerderheidsbesluiten.

De stichting merkt op dat het gebruik van AI-gebaseerde analysetools de instroom van kwetsbaarheidsrapporten enorm heeft verhoogd. Sinds 1 juli 2026 verwerkte het team meer dan 100 meldingen die ongeldig, dubbel of niet-reproduceerbaar bleken, naast de publicatie van 15 legitieme CVE's. Hoewel AI-modellen zoals Claude Mythos en OpenAI Daybreak Red worden gebruikt om rapporten te valideren, benadrukt de stichting dat menselijke experts noodzakelijk blijven om ingrijpende architectuurbesluiten te nemen.

Oproep tot financiële ondersteuning

De PHP Foundation sluit het bericht af met een dringende oproep aan organisaties, hostingproviders, cloudplatforms en overheden die afhankelijk zijn van PHP. Aangezien PHP een groot deel van het wereldwijde internet aanstuurt, is de huidige afhankelijkheid van een kleine groep door de stichting gefinancierde ontwikkelaars en vrijwilligers niet langer houdbaar. Bedrijven en instellingen worden opgeroepen zich aan te sluiten als sponsor via thephp.foundation/sponsor om structureel onderhoud en beveiligingswerk aan de taal voor de lange termijn te garanderen.