Een PHP-probleem uit 2012 duikt opnieuw op: wat verandert AI voor hackers?

In juni 2024 werd CVE-2024-4577 openbaar gemaakt. Het gaat om een kwetsbaarheid in bepaalde Windows-omgevingen waarin PHP via CGI wordt gebruikt. Onder specifieke omstandigheden kunnen aanvallers opdrachten meegeven die PHP verkeerd interpreteert. Dat kan uiteindelijk leiden tot remote code execution: een aanvaller kan op afstand code uitvoeren op een kwetsbaar systeem.

Dat is ernstig. NVD (National Vulnerability Database) geeft het lek een CVSS-score van 9,8 op een schaal van 10.

Maar het interessantste deel zit niet alleen in de techniek van het lek. Het zit vooral in zijn geschiedenis.

In mei 2012 werd een andere PHP-CGI-kwetsbaarheid geregistreerd: CVE-2012-1823.

Ook daarbij draaide het om de manier waarop PHP-CGI argumenten verwerkt. Onder bepaalde omstandigheden kon een aanvaller parameters aan PHP doorgeven die PHP vervolgens als command-line-opties behandelde. Daarmee konden aanvallers bijvoorbeeld broncode bekijken of willekeurige code uitvoeren.

Het probleem werd aangepakt.

Daarmee leek het verhaal afgesloten.

Tot onderzoekers van DEVCORE in 2024 ontdekten dat de oude beveiliging in bepaalde Windows-omgevingen te omzeilen was.

De oorzaak daarvan zit in een technisch detail van Windows: de zogenoemde Best-Fit-functionaliteit voor het omzetten van karaktercoderingen.

PHP hield bij de implementatie geen rekening met bepaald gedrag van deze Windows-functie. Daardoor bleken specifieke tekenreeksen anders te kunnen worden geïnterpreteerd dan verwacht. Een aanvaller kon daarmee de bescherming tegen het probleem uit 2012 omzeilen.

Het is dus te kort door de bocht om te zeggen dat PHP een bekend gat twaalf jaar lang simpelweg heeft laten openstaan.

Er was een oplossing.

Alleen bleek jaren later dat die oplossing onder specifieke omstandigheden kon worden omzeild.

En daar zit een belangrijke cybersecurityles in.

Software is opgebouwd uit talloze lagen. PHP draait bijvoorbeeld niet in een vacuüm. Het werkt samen met een webserver, een besturingssysteem en allerlei andere softwarecomponenten.

Een beveiligingsmaatregel kan binnen één laag prima werken, terwijl een onverwachte eigenschap in een andere laag toch een nieuwe route opent.

CVE-2024-4577 is daar een goed voorbeeld van. De combinatie van PHP-CGI en bepaald gedrag van Windows zorgde ervoor dat een oud aanvalspad opnieuw relevant werd.

En vervolgens komt AI om de hoek kijken.

Niet omdat AI deze kwetsbaarheid heeft veroorzaakt. Maar omdat AI verandert wat aanvallers met dit soort informatie kunnen doen.

Een CVE publiceren en een CVE daadwerkelijk misbruiken zijn twee verschillende dingen. CVE staat voor Common Vulnerabilities and Exposures. Het is een wereldwijd erkende, openbare lijst van bekende beveiligingslekken en zwakheden in computersystemen, software en hardware.

Een aanvaller moet normaal gesproken begrijpen wat een kwetsbaarheid doet, bepalen of een systeem kwetsbaar is, informatie uit beveiligingsonderzoek interpreteren en vervolgens een werkende aanval ontwikkelen of aanpassen.

Dat vraagt kennis en tijd.

Generatieve AI kan delen van dat proces versnellen.

Hoe groot dat verschil kan zijn, bleek uit onderzoek naar autonome AI-agents uit 2024. Onderzoekers gaven een GPT-4-agent beschrijvingen van 15 echte bekende kwetsbaarheden. Met die informatie wist de agent in hun experiment 87% van de kwetsbaarheden succesvol te exploiteren. Zonder de CVE-beschrijving daalde het succespercentage tot slechts 7%.

Dat verschil is belangrijk.

Het suggereert niet dat AI zelfstandig ieder onbekend lek vindt. Het laat vooral zien dat krachtige AI-agents bijzonder nuttig kunnen worden zodra informatie over een kwetsbaarheid beschikbaar is.

En daarmee verandert het speelveld.

Vroeger was technische kennis een belangrijke barrière. Weten dát ergens een kwetsbaarheid zat, betekende nog niet automatisch dat iemand die ook kon misbruiken.

AI kan die barrière verlagen.

Een AI-agent kan technische documentatie analyseren, verbanden leggen, code begrijpen en meerdere stappen combineren. Het eerdergenoemde onderzoek laat zien dat zo'n agent onder gecontroleerde omstandigheden bekende zwakke plekken daadwerkelijk autonoom kon uitbuiten.

Daarom wordt de tijd tussen bekendmaking, patchen en mogelijk misbruik steeds belangrijker.

Het PHP-lek onderstreept dat risico. Publieke proof-of-conceptcode voor CVE-2024-4577 is beschikbaar en de kwetsbaarheid is daadwerkelijk gebruikt voor aanvallen. GreyNoise rapporteerde bijvoorbeeld grootschalige exploitatiepogingen en zag in januari 2025 alleen al 1.089 unieke IP-adressen die CVE-2024-4577 probeerden uit te buiten.

Dat is misschien wel de belangrijkste les.

Dit verhaal gaat uiteindelijk niet alleen over PHP.

Het gaat over duizenden bekende kwetsbaarheden in software die organisaties nog dagelijks gebruiken. Over servers die niet tijdig worden bijgewerkt. Over oude configuraties die ooit logisch waren, maar inmiddels een risico vormen.

AI maakt software niet ineens kwetsbaar.

Maar AI kan er wel voor zorgen dat de kennis en vaardigheden die nodig zijn om bestaande kwetsbaarheden uit te buiten toegankelijker worden.

Daarom wordt goed patchbeheer nog belangrijker.

CVE-2024-4577 laat mooi zien hoe lang de schaduw van een kwetsbaarheid kan zijn.

Een beveiligingsprobleem uit 2012 werd opgelost. Twaalf jaar later bleek er via een onverwachte combinatie met Windows toch een nieuwe weg langs die bescherming te bestaan. Vervolgens werd de nieuwe kwetsbaarheid openbaar, kwam exploitcode beschikbaar en vond daadwerkelijk misbruik plaats.

Tegelijkertijd wordt AI steeds beter in het analyseren en benutten van precies dit soort technische informatie.

Voor organisaties betekent dit vooral dat afwachten riskanter wordt.

Weet welke software en versies je gebruikt. Zorg dat beveiligingsupdates snel worden doorgevoerd. Houd systemen die via internet bereikbaar zijn extra scherp in de gaten. En blijf kritisch kijken naar oudere omgevingen die al jaren probleemloos lijken te functioneren.

Want een kwetsbaarheid die gisteren moeilijk te misbruiken was, hoeft dat morgen niet meer te zijn.