Een aanvaller probeerde de PHP-lekken al vier dagen voor de bekendmaking te misbruiken

Een aanvaller probeerde twee ernstige fouten in PHP al op 17 oktober 2026 te misbruiken, vier dagen voordat de updates uitkwamen. Dat schrijft The Register. PHP is de programmeertaal achter een groot deel van het web. Via de fouten kan een aanvaller zonder inloggegevens eigen code laten uitvoeren op een kwetsbare server.

Amazon zag de poging op MadPot, een netwerk van lokservers dat aanvallers moet aantrekken om hun gedrag vast te leggen. Het lek was toen nog geheim: de afspraak was dat niemand iets zei tot de oplossing klaar was. Hoe de aanvaller eraan kwam, is onbekend. Op 21 oktober registreerde Amazon meerdere voorbeeldaanvallen, de eerste rond 02:00 UTC, ongeveer twaalf uur vóór de updates. Ze kwamen van verschillende anonieme adressen en met uiteenlopende gegevens, wat volgens Amazon op meerdere aanvallers wijst. Of een poging bij een echt systeem zou hebben gewerkt, is niet duidelijk.

Matthew Prince, topman van internetbeveiliger Cloudflare, meldde duizenden pogingen in de tien uur vóór de bekendmaking. In de 45 minuten erna waren het er tienduizenden, binnen twee uur honderdduizenden en inmiddels miljoenen op het netwerk van het bedrijf. Dat zijn pogingen, geen geslaagde inbraken. Het Duitse cyberbeveiligingsbureau BSI zag aanvallen maar geen geslaagd gebruik van de lekken, meldt The Next Web. Ook het Nederlandse Nationaal Cyber Security Centrum heeft er geen aanwijzingen voor.

Aanvallers passen hun gegevens aan om het webfilter van Cloudflare te omzeilen. Dat filter vervangt de update zelf niet, benadrukt het bedrijf.

Wat betekent dit voor Vlaanderen en België?

Een site die op PHP draait en pas na 21 oktober is bijgewerkt, kan al eerder doelwit zijn geweest. Amazon raadt organisaties aan verdachte activiteit te onderzoeken tot minstens 17 oktober terug, in plaats van aan te nemen dat hun systemen veilig waren tot de lekken bekend werden.

Wie een site beheert of laat beheren, kan de hostingpartij vragen de logbestanden vanaf die datum na te lezen. Dat geldt ook voor de Vlaamse overheidssites en andere Belgische sites die op 21 oktober uit voorzorg offline gingen: offline halen en updaten sluit een eerdere inbraak niet uit.