WERELDWIJDE PANIEK: Grote cyberaanvallen wereldwijd na cruciaal lek #2

quote:

Op woensdag 21 oktober 2026 21:49 schreef The-BFG het volgende:

[..]
Ik las ergens dat de ontwikkelaars van PHP al een aantal jaren een vermoeden hadden dat er een lek in zat. Alleen werdt men het niet eens over de oplossing.

Was wel een nieuws website dus vermoedelijk is daar ook iets niet helemaal goed gegaan om eea begrijpbaar te maken voor leken.

quote:

Op woensdag 21 oktober 2026 21:49 schreef raptorix het volgende:

[..]
Ken daar mooi voorbeeld van, XS4ALL had heel lang een storing pagina op ik meen RTL Teletekst.
Overigens is deze oplossing er wel, Regionale Radiozenders, deze hebben de officieel functie, misschien dat ze daar gebruik van kunnen maken

quote:

Op woensdag 21 oktober 2026 22:01 schreef George_of_the_Jungle het volgende:
De hele dag hier in het VK niks erover. BBC plaatste pas rond 18u een artikel erover. Maar daar stond dan wel in dat ze een deel van hun eigen websites offline hadden gehaald. Ook websites van (lokale) overheden plat. Maar dus niks op grote nieuwssites erover. Alleen een bericht op de site van het National cyber security Center, om klaar te staan om je sites onmiddellijk te updaten als de patch er is, en als je dat niet kunt je site offline te halen. Maar wij kijkt daar nu op? En in NL was het overal de headliner met liveblogs etc. Bizar om zo'n verschil te zien.

quote:

Op woensdag 21 oktober 2026 22:01 schreef Chandler het volgende:
Moet wel zeggen dat ik niet vaak zie dat ICTers allemaal zo hard aan't werk zijn!

Heb al verschillende meldingen van bedrijven gehad dat ze het probleem hebben opgelost!

quote:

Op woensdag 21 oktober 2026 21:53 schreef beefkeek het volgende:

[..]
Ja, maar dat is voor crisiscommunicatie. Ik bedoel iets wat laagdrempeligers. Vrijwel alles moet online nu, maar wat is het offline alternatief? Wat is de BCP?

quote:

Op woensdag 21 oktober 2026 22:01 schreef George_of_the_Jungle het volgende:
De hele dag hier in het VK niks erover. BBC plaatste pas rond 18u een artikel erover. Maar daar stond dan wel in dat ze een deel van hun eigen websites offline hadden gehaald. Ook websites van (lokale) overheden plat. Maar dus niks op grote nieuwssites erover. Alleen een bericht op de site van het National cyber security Center, om klaar te staan om je sites onmiddellijk te updaten als de patch er is, en als je dat niet kunt je site offline te halen. Maar wij kijkt daar nu op? En in NL was het overal de headliner met liveblogs etc. Bizar om zo'n verschil te zien.

quote:

Op woensdag 21 oktober 2026 22:30 schreef beefkeek het volgende:

[..]
NCSC UK communiceert veel direct met bedrijven. Daarnaast zijn de UK Cyber Essentials en Cyber Assessment Framework best wel gedetailleerd in hun eisen, waar veel van de (potentiële) mitigaties al in die frameworks genoemd werden. Zij maakten zich in elk geval een stuk minder zorgen.

Iemand noemde het hier al eerder, ik denk dat de situatie rondom de AH hier meegespeeld heeft. Het zal ook geholpen hebben dat mensen best begripvol waren, dus dat de publieke opinie rondom even down zijn best positief was.

quote:

Op woensdag 21 oktober 2026 22:30 schreef beefkeek het volgende:

[..]
NCSC UK communiceert veel direct met bedrijven. Daarnaast zijn de UK Cyber Essentials en Cyber Assessment Framework best wel gedetailleerd in hun eisen, waar veel van de (potentiële) mitigaties al in die frameworks genoemd werden. Zij maakten zich in elk geval een stuk minder zorgen.

Iemand noemde het hier al eerder, ik denk dat de situatie rondom de AH hier meegespeeld heeft. Het zal ook geholpen hebben dat mensen best begripvol waren, dus dat de publieke opinie rondom even down zijn best positief was.

quote:

Op woensdag 21 oktober 2026 21:34 schreef beefkeek het volgende:

[..]
Deze kwetsbaarheid is (grotendeels) gevonden door AI

quote:

In 2024, PHP underwent its first external security audit in years. The PHP Foundation secured funding from the Sovereign Tech Agency to organize this audit through OSTIF, and it was carried out by Quarkslab. While fixing one of the issues Quarkslab reported, a PHP core developer contracted by the PHP Foundation found the first signs of the OOM problem behind CVE-2026-109618. In 2024, a potential exploit for the OOM problem was theorized, but no concrete vectors were found and other concrete issues with clear impact overshadowed these concerns.

To fix the OOM problem, the PHP security team developed several competing approaches, but each came with its own trade-offs: backward compatibility breaks, new denial-of-service potential, or requiring changes to many third-party extensions which seemed impossible to coordinate. The PHP security team, operating on consensus, struggled to choose between these and feared the repercussions of shipping the wrong choice. Combined with the lack of a known path to remote code execution and the small team of core developers with the necessary deep knowledge of the engine occupied with many responsibilities, this decision process caused work on a fix to stall and restart repeatedly over months. We won't pretend otherwise: the delay was a structural failure, caused by both the security team's decision process and its lack of resources. The security team has since started changing its processes, and that work continues, so that decisions can be made by majority and compromises are encouraged.

Building a sustainable professional security organization

Over the last months the way PHP security work is organized has changed considerably. In May 2026, the PHP Foundation created the Ecosystem Security Team, which works alongside the PHP security team on triage, coordination, and hardening. Volker Dusch's work as AI Security Engineer in Residence at the PHP Foundation has significantly improved communication and collaboration between the PHP security team and the Foundation. Alexandre Daubois joined the PHP Foundation in July to help the PHP security team triage, handle, and fix security reports and Daniel Scherzer joined in September to take on hardening work.

Earlier this year, we worked with Alpha-Omega to scan PHP with Anthropic's Claude Mythos. But since the Mythos scan, we have added other tools, including OpenAI's Daybreak Red for validating reports and exploits, alongside sanitizer builds and reproduction environments that match our CI on every platform PHP supports.

The PHP Foundation got the PHP project into the Patch the Planet program, as part of which security firm Calif began an audit of PHP on July 30th, 2026. On August 11th researcher Ryan A at Calif reported an unconditional remote code execution with the same root cause as the OOM problem we had found in 2024. OpenAI independently reported the same root cause on the same day, followed by further attack vectors from OpenAI on September 18th and from Wiz on August 24th. More recently, Trail of Bits has also been auditing PHP. The reports from Calif, OpenAI, and Wiz made the full impact of the OOM problem clear, and from August 11th onward, fixing it became the top priority for all of the PHP Foundation's team working on security. Without the Foundation’s funding it would have been impossible to have multiple people work on this issue full time, eventually through weekends and around the clock to coordinate and communicate with other involved parties.

The growth of AI-assisted research also means the PHP security team receives far more reports than before. As Alexandre Daubois described last week in How the PHP Security Team Handles Your Reports, the team has published 15 CVEs since July 1st and worked through more than 100 reports that turned out to be invalid, duplicates, or not reproducible. AI helps the team validate reports and group reports sharing the same root cause, but a person makes every call and works on every patch.

quote:

Op woensdag 21 oktober 2026 23:14 schreef Chillegast het volgende:

[..]
Niet helemaal. Deze kwetsbaarheid was al bekend sinds 2024. Maar destijds werd het vooral als een theoretisch risico gezien omdat niemand er nog in geslaagd was er misbruik van te maken.

Andere meer concrete dreigingen kregen meer prioriteit. Bovendien bleken alle pogingen om iets aan die kwetsbaarheid te doen ook weer een hoop problemen op te leveren.

Fast forward naar nu: Met GPT-6 als hulpje blijkt deze exploit nu wel uit te buiten. In feite heeft AI het security team achterhaald.

Overigens blijken de kwetsbaarheden al sinds een jaar of 10 te bestaan.
[..]
https://thephp.foundation(...)hening-php-security/

quote:

Op donderdag 22 oktober 2026 08:04 schreef Troel het volgende:
Wat ik het meest bijzondere vind is dat ik van mijn hostingpartij vanochtendvroeg hoorde dat alles geupdate was, maar dat er nog php 8.5.11 draait in plaats van de 8.5.12 die de oplossing geeft voor dit probleem.

Alles maar weer offline dus.

quote:

Op donderdag 22 oktober 2026 08:27 schreef alpeko het volgende:

[..]
Wees blij. Bij mijn hoster kwam ik gister nog altijd niet verder dan 8.0 die sowieso niet gepatched is. 8.0 is al jaren EOL.

quote:

Op donderdag 22 oktober 2026 08:29 schreef Troel het volgende:

[..]
Maar 'nog altijd niet' geeft aan dat je dat weet, dus dan kun je toch op zoek naar een andere partij? Of denk ik nu te simpel

quote:

Op donderdag 22 oktober 2026 08:31 schreef alpeko het volgende:

[..]
Nee je denkt zeker niet te simpel Luiheid denk ik. Het is ook maar een hobby site waar weinig mee deed. Maar om even aan te geven hoe laks sommige hostingpartijen zijn. En hun klanten. Waaronder ik zelf Qua werk is het een ander verhaal hoor maar dat is geen php uiteraard.

quote:

Waarom zie ik toch oudere versie-nummers van PHP?
Antagonist maakt gebruik van enterprise software waarbij betrouwbaarheid en veiligheid boven nieuwe onvoldoende getest functionaliteit gaat. We draaien hierdoor oudere bewezen versies, met aanvullende security patches. Indien je enkel naar versie-nummers kijkt kan je hierdoor een (oudere) versie-nummer zien dan je zou verwachten. Kijk je echter naar de BuildDate van de software zul je zien dat deze wel actueel is.

quote:

Op donderdag 22 oktober 2026 10:01 schreef William_Papadin het volgende:
[ x ]

quote:

Op donderdag 22 oktober 2026 10:04 schreef Since2003 het volgende:
Was dus toch fophef.

quote:

Op donderdag 22 oktober 2026 10:01 schreef William_Papadin het volgende:
[ x ]

quote:

Op woensdag 21 oktober 2026 22:50 schreef FlippingCoin het volgende:

[..]
Wat voor al dan niet potentiële migraties?

quote:

Websites across world hit by millions of attempts to exploit PHP code flaw

Websites around the world have been hit by millions of attempts to exploit a recently discovered vulnerability in their code, cybersecurity companies have said, as the US National Security Agency warned the flaw could allow attackers to take control of web servers, steal data and disrupt services.
[..]
In an update overnight on Wednesday, and into Thursday, Matthew Prince, the chief executive of cybersecurity company Cloudflare, said the company saw tens of thousands of attempts to exploit the weakness in the 45 minutes after the problem was announced, rising to “hundreds of thousands within two hours, and millions now”.

Amazon Threat Intelligence, another cybersecurity company, added that PHP2Shell, as the vulnerability is known, was “now being broadly exploited in the wild” and said it identified several attempts from multiple actors to test ways to capitalise on the vulnerability before the fix was released by the PHP developers on Wednesday.

Cloudflare also said that in the 10 hours before it was publicly announced, it saw thousands of attempts to exploit the vulnerability, amid concern over the handling of the alert, with one cybersecurity expert, Prof Alan Woodward, saying the flaw was revealed a day before the patch was released, and that “somebody let the cat out of the bag”.
[..]
Criminal groups, state-sponsored hackers, or crypto miners might “nest” themselves into exposed sites using this PHP vulnerability, and then exploit those resources for their own aims. A hacking group could use an exposed site’s IP address to launch attacks that could not then be traced back to it. Crypto miners could use a server’s computing power to run their energy-intensive calculations for free.

It is unclear at what scale this has been done, said Woźniak, and many sites would not even be aware of it.
[..]

quote:

Op donderdag 22 oktober 2026 14:02 schreef crystal_meth het volgende:

[..]
https://www.theguardian.c(...)xploit-php-code-flaw

quote:

Op woensdag 21 oktober 2026 22:40 schreef raptorix het volgende:

[..]
Ja dat was ik, doet me herinneren aan dat ik in 1999 bij een groot marketing bureau werkte, die gaven destijds de case als Iglo Spinazie op (kun je op Googlen), in de jaren 80 gingen er een paar babies dood doordat er een fout in de fabriek was, Iglo ontkende het heel hard wat hun enorme schade opleverde, als ze gewoon direct onderzoek hadden gedaan en open waren geweest hadden ze juist vertrouwen gewonnen, nu kostte dat ze een enorme deuk in reputatie en financieele schade.

quote:

Op woensdag 21 oktober 2026 22:40 schreef raptorix het volgende:

[..]
Ja dat was ik, doet me herinneren aan dat ik in 1999 bij een groot marketing bureau werkte, die gaven destijds de case als Iglo Spinazie op (kun je op Googlen), in de jaren 80 gingen er een paar babies dood doordat er een fout in de fabriek was, Iglo ontkende het heel hard wat hun enorme schade opleverde, als ze gewoon direct onderzoek hadden gedaan en open waren geweest hadden ze juist vertrouwen gewonnen, nu kostte dat ze een enorme deuk in reputatie en financieele schade.

quote:

Op woensdag 21 oktober 2026 22:30 schreef beefkeek het volgende:

[..]
NCSC UK communiceert veel direct met bedrijven. Daarnaast zijn de UK Cyber Essentials en Cyber Assessment Framework best wel gedetailleerd in hun eisen, waar veel van de (potentiële) mitigaties al in die frameworks genoemd werden. Zij maakten zich in elk geval een stuk minder zorgen.

Iemand noemde het hier al eerder, ik denk dat de situatie rondom de AH hier meegespeeld heeft. Het zal ook geholpen hebben dat mensen best begripvol waren, dus dat de publieke opinie rondom even down zijn best positief was.

quote:

Achteraf is het altijd makkelijk praten, zegt cybersecurity-expert Matthijs Koot. „Het rommelige traject heeft wel bijgedragen aan de paniek en de chaos. Maar ook zonder alle ruis is het vaak even rennen en gillen voordat alles gepatcht is. Als het lek inderdaad lastig uit te buiten is, dan is dat een meevaller, want alles wees op het tegendeel: het aanvalsverkeer dat Cloudflare al vroeg zag en de hoge scores die de kwetsbaarheid kreeg toegekend.”

We zijn door het oog van de naald gekropen, zegt Koot. „Het verschijnen van exploit code voordat de patch er is, is een horrorscenario. ”

quote:

Op donderdag 22 oktober 2026 14:19 schreef beefkeek het volgende:

[..]
Tja, als bedrijven nu nog niet gepatched hebben hebben ze 't ook wel een beetje aan zichzelf te danken. Het is niet alsof het als een verrassing komt.

quote:

Op donderdag 22 oktober 2026 08:27 schreef alpeko het volgende:

[..]
Wees blij. Bij mijn hoster kwam ik gister nog altijd niet verder dan 8.0 die sowieso niet gepatched is. 8.0 is al jaren EOL. Ze hebben de stekker er uiteindelijk zelf maar uitgetrokken. En nog steeds.

quote:

Op vrijdag 23 oktober 2026 07:51 schreef Wrapster het volgende:

[..]
Voor Debian based OS'en zou je in dit geval de repo's van Surý kunnen gebruiken, die is druk bezig alles te backporten. Ik gebruik in het geval van PHP sowieso de Sury repo's gezien updates veel sneller beschikbaar zijn dan via Ubuntu zelf.