Code Rood voor PHP: Dagen eerder aangevallen volgens Amazon

Het incident draait om twee specifieke kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) in de veelgebruikte programmeertaal PHP. Terwijl er voor het lek nog een zogeheten 'embargo' gold — een periode waarin informatie geheim wordt gehouden zodat ontwikkelaars een openschaalbare patch kunnen voorbereiden — registreerde Amazons wereldwijde honeypot-netwerk 'MadPot' op 17 oktober 2026 al de eerste aanvalspoging.

Aanvallen vóór en tijdens de vrijgave

De aanval op 17 oktober was afkomstig van een IP-adres dat gekoppeld is aan een commercieel anonimiseringsnetwerk. Hoe de aanvaller aan de details van het lek kwam voordat de officiële vrijgave op 21 oktober om 14:00 UTC plaatsvond, is vooralsnog onbekend.

In de uren voorafgaand aan het verlopen van het embargo zag Amazon de dreiging snel toenemen. Tussen 02:00 en 08:00 UTC op 21 oktober werden meerdere 'proof-of-concept'-exploits én verdere aanvalsgolfjes waargenomen vanaf verschillende IP-adressen. De variatie in de gebruikte 'payloads' en anonimiseringsnetwerken wijst erop dat meerdere onafhankelijke actoren tegelijkertijd actief waren. Nadat het embargo officieel werd opgeheven en de beveiligingsupdate beschikbaar kwam, verspreidde de exploitatiemethodiek zich binnen enkele uren op grote schaal over het internet.

AI verkort de tijd tussen patch en exploit

Volgens Moses onderstreept het incident twee cruciale lessen voor de hele cybersecuritysector. Ten eerste beschermt een embargo verdedigers alleen totdat iemand anders hetzelfde lek ontdekt; organisaties moeten er dus niet van uitgaan dat de openbaarmakingsdatum ook het begin van de dreiging markeert. Onderzoek naar mogelijke inbreuk moet voor PHP2Shell dan ook worden teruggevoerd naar ten minste 17 oktober.

Ten tweede verschuift de dynamiek tussen aanvallers en verdedigers door de opkomst van kunstmatige intelligentie. Waar aanvallers vroeger afhankelijk waren van een klein groepje geavanceerde hackers die beveiligingsupdates analyseerden en omzetten in werkende exploits, zorgt AI-ondersteunde analyse er nu voor dat een patch-analyse veel sneller en goedkoper kan worden uitgevoerd. Binnen uren — of zelfs minuten — na het verschijnen van een patch kunnen kwaadwillenden nu al een aanval opzetten.

Dringend advies aan beveiligingsteams

Amazon adviseert organisaties die met PHP werken om hun patching-SLA's te herzien. Reactietijden van 7 tot 30 dagen zijn volgens de AWS-topman achterhaald voor kritieke, aan het internet blootgestelde systemen; vervangingen en mitigaties moeten voortaan in uren worden gemeten.

Systeembeheerders wordt dringend geadviseerd om PHP onmiddellijk te upgraden naar de nieuwste, gerepareerde versie. Voor situaties waarin direct updaten niet mogelijk is, adviseert Amazon onder meer het controleren van webserverlogs op verdachte POST-requests met de string PHP_SESSION_UPLOAD_PROGRESS, het monitoren van ongebruikelijke procesuitvoeringen en het eventueel tijdelijk blokkeren van 'multi-part file uploads'.