Girev
PHP in noodmodus, Plex lek als een mandje en een sleutel die gewoon ‘4’ bleek te zijn
Tech Shorts staat weer klaar, en de afgelopen periode van 48 tot 24 uur terug was rijk gevuld. Niet met gezellig nieuws, dat mag duidelijk zijn, maar wel met nieuws waar je als lezer iets aan hebt. Vanochtend doen we vijf dingen: uitzoeken waarom het PHP-team plotseling naar de oorlogsmodus overschakelde, waarom tienduizenden Plex-mediaservers open en bloot op internet staan, hoe een Indiase certificaatautoriteit het hele vertrouwensmodel van het internet wist te kelderen met één waardeloze sleutel, wat er gebeurde toen ruim driehonderd nep-Tor-knooppunten je verkeer probeerden te onderscheppen, en waarom de Linux Foundation gruwelt van wat kunstmatige intelligentie tegenwoordig allemaal naar open-sourceprojecten stuurt.
Kortom: patchmateriaal voor de systeembeheerder, leesvoer voor de techliefhebber en een gezonde portie wantrouwen voor iedereen. Dat laatste is overigens gratis. Veel leesplezier.
PHP kondigt noodpatches aan voor twee gelekte kritieke lekken
Kern van het nieuws: het PHP-team heeft dinsdag 20 oktober een waarschuwing gepubliceerd voor twee kritieke kwetsbaarheden, waarvan de details uitlekten vóór de geplande bekendmaking. Noodupdates waren aangekondigd voor woensdag 21 oktober.
Wie dinsdag de mailinglijst van PHP in de gaten hield, zag iets zeldzaams: een beveiligingsteam dat openlijk toegeeft dat het zijn eigen embargo niet meer kan garanderen. Het PHP-securityteam kondigde in een advies aan dat het op woensdag 21 oktober om 14:00 uur UTC beveiligingsupdates zou uitbrengen voor twee kwetsbaarheden. Beide kregen een CVSS-score van 9,2 op de nieuwste versie van die schaal. Voor wie de schaal niet kent: een score boven de 9 betekent kritiek. In een tekstadvies kom je niet dichter bij ‘ga nu patchen’ dan dit.
Wat het spannender maakte dan de cijfers zelf, was de reden van de haast. Informatie over beide lekken was uitlekt, terwijl de details onder embargo zouden blijven tot de geplande publicatie. Het PHP-team schreef er letterlijk bij dat het zich het recht voorbehield om de patches eerder uit te brengen, mochten de details openbaar worden of mocht er bewijs van actief misbruik opduiken. Dat is beveiligingsjargon voor: “de vlammenzee kan elk moment beginnen.”
PHP draait, en dit is een understatement, op behoorlijk wat van het internet. De scripttaal vormt de motor achter een groot deel van de websites, webshops en contentmanagementsystemen ter wereld. Alles wat in de kern van PHP misgaat, raakt dus potentieel miljoenen servers tegelijk.
Wat we weten, en wat we niet weten
Concrete technische details gaf PHP in het advies bewust niet prijs. Het is niet bekend welke PHP-versies kwetsbaar zijn, hoe de lekken precies werken, welke releases de reparaties bevatten en of misbruik al daadwerkelijk is waargenomen. Het beveiligingsbedrijf watchTowr deed dinsdag wel een uitspraak: de kwetsbaarheden zouden remote code execution-lekken (RCE) betreffen, oftewel gaten waarmee een aanvaller op afstand eigen code op een server kan uitvoeren. Volgens watchTowr, wiens topman dit tegen vakpers BleepingComputer zei, zijn de lekken bijgenaamd CVE-2026-109618 en CVE-2026-109619 en zouden ze mogelijk PHP-versies 5, 6, 7 en 8 raken. Dat laatste is een aanname van de onderzoekers, geen bevestiging van PHP zelf. Het verschil tussen die twee is belangrijk.
De lekken hebben inmiddels een bijnaam gekregen: PHP2Shell. Of die naam terecht is, hangt af van wat de patches onthullen. Wat we wél zeker weten: het officiële advies van PHP aan serverbeheerders was helder en zonder gevoel voor drama geformuleerd: bereid je voor en installeer de updates zodra ze beschikbaar komen.
Waarom dit relevant is voor de gewone lezer
Voor de thuisgebruiker verandert er deze week weinig direct. PHP draait op servers, niet op je laptop. Maar vrijwel elke site die je bezoekt, van de webshop waar je gisteren bestelde tot het forum waar je de antwoorden zoekt, hangt af van een of andere PHP-installatie. Als de lekken daadwerkelijk misbruikbare RCE-problemen zijn, dan kunnen aangestelde servers dienen als springplank voor datadiefstal, ransomware of het installeren van cryptominers, software die de rekenkracht van een andermans computer leent om cryptovaluta te delven.
Het scenario is herkenbaar uit eerdere crisisjes rondom PHP. Als er een kernlek in de taal zit, volgt vrijwel altijd een golf van scans door geautomatiseerde aanvallers die alle kwetsbare servers van het internet afstruinen. De servers van de wereld weten dat intussen ook, dus de verwachting is dat de patches razendsnel opgepakt worden door hostingbedrijven. Hoe snel de achterblijvers volgen, is nog niet te zeggen.
Wat met zekerheid bevestigd is: de waarschuwing zelf, de aangekondigde releasedatum en -tijd, de CVSS-score van 9,2 en de waarschuwing dat de details konden leiden. Wat niet bevestigd is: de precieze aard van de lekken, de getroffen versies en eventueel misbruik. Als je zelf een server draait met PHP: kijk deze week even extra goed naar je update-instellingen. Dat is advies dat sowieso nooit kwaad kan.
Plex2Shell: tienduizenden mediaservers staan nog steeds open
Kern van het nieuws: aanvallers maken actief misbruik van vier beveiligingslekken in Plex Media Server. Tienduizenden servers wereldwijd, waarvan ruim vijftienhonderd in Nederland, zijn daardoor nog kwetsbaar.
Van alle verhalen van deze editie is dit het verhaal dat de gemiddelde Downloadfan-lezer het meest persoonlijk raakt. Plex is immers hét stuk software voor wie een eigen mediaserver draait: films, series en muziek op eigen hardware, te streamen naar elk apparaat in huis. De software claimt ruim 25 miljoen gebruikers wereldwijd. En een deel van die gebruikers heeft een probleem dat niet aan hun hart gaat, maar aan hun processor.
Aanvallers combineren vier kwetsbaarheden in Plex Media Server geregistreerd als CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656 om ongeauthenticeerd code op kwetsbare servers uit te voeren. Deze aanval heeft de naam Plex2Shell gekregen. Dat is geen vervelende grap van de onderzoekers: het is een beschrijving van het resultaat. De aanvaller krijgt op de gehackte server een shell: een commandoregel waarmee het hele systeem te besturen is.
Hoe de aanval werkt
De route is ontluisterend eenvoudig te beschrijven. De aanvaller bemachtigt eerst het admin-token van de server, de sleutel die volledige toegang geeft. Daarna zorgt een speciaal geprepareerd videobestand ervoor dat kwaadaardige code in de map met codecs belandt, de map waar Plex de software bewaart die mediabestanden kan afspelen. Zodra die code eenmaal staat, heeft de aanvaller de shell en daarmee de server.
Op de servers die tot nu toe zijn aangetroffen, installeren aanvallers twee dingen: cryptominers, die de rekenkracht van de server gebruiken om cryptovaluta te delven, en proxysoftware, waarmee de gehackte server als tussenstop wordt gebruikt voor vervolgaanvallen op andere systemen. Je mediaserver wordt dus tegelijk een geldautomaat en een handlanger.
De details van de kwetsbaarheden zijn inmiddels openbaar gemaakt en er circuleert ook proof-of-conceptcode een kant-en-klare demonstratiecode waarmee de aanval is na te spelen. Dat laatste betekent dat het technische niveau van de gemiddelde aanvaller met spoed daalt. Zo’n PoC-publicatie doet met andere woorden twee dingen: het helpt beheerders begrijpen wat er mis is, en het helpt luie criminelen begrijpen dat er nu ook voor hen een graantje te meppen valt.
Al maanden bekend, en toch
Hier komt de frustratie. Plex bracht de beveiligingsupdates voor deze lekken al in september uit en riep gebruikers op die meteen te installeren. De beveiligingsorganisatie The Shadowserver Foundation waarschuwde vorige maand dat er circa 36.000 kwetsbare Plex-servers op het internet te vinden zijn. De meest recente meting, zo meldden beveiligingsonderzoekers dinsdag, laat zien dat die situatie nauwelijks is veranderd. Nederland telt nog altijd meer dan vijftienhonderd kwetsbare servers.
De oplossing is simpel: update naar versie 1.43.3 of nieuwer. Wie dat nog niet gedaan heeft, kan dat nu doen, al is het maar omdat het merkbaar is: een mediaserver die stilletjes cryptovaluta delft, buffert films aanzienlijk trager. Soms is de prestatieklacht de beste inbraakdetector die er bestaat.
Overigens is niet alles kommer en kwast: de onderzoeker die de kwetsbaarheden vond en meldde, ontving een beloning van 500 dollar van Plex. Vijf honderdjes voor het opsporen van een gat waarmee tienduizenden servers te kraken zijn. Bugbounties blijven de enige plek in de economie waar marktwerking soms interessant faalt.
Certificaatautoriteit eMudhra: de sleutel van het slot bleek ‘4’
Kern van het nieuws: bij de Indiase certificaatautoriteit eMudhra zijn de privésleutels van acht tussencertificaten gecompromitteerd. Mozilla, Google en Apple blokkeren de certificaten. Hoe de sleutels gelekt konden worden, is niet met zekerheid bekend.
Dit verhaal begint als een laag detective en eindigt als een gooi- en smijtcomedy. Mozilla kreeg zaterdag 18 oktober de eerste melding dat er iets goed mis was bij eMudhra, een Indiase certificaatautoriteit (CA): een bedrijf dat digitale certificaten uitgeeft waarmee websites aantonen dat zij zijn wie zij zeggen dat ze zijn. Het slotje in je browserbalk bestaat bij de gratie van dat systeem.
Acht zogenoemde intermediate certificaten van eMudhra, tussencertificaten waarmee certificaten voor willekeurige domeinen worden uitgegeven bleken gecompromitteerd. Met de gestolen privésleutels kan een aanvaller certificaten uitgeven voor websites die hem niet toebehoren, en die gebruiken voor phishing of man-in-the-middle-aanvallen. Bij een man-in-the-middle-aanval zit de crimineel letterlijk tussen jou en de website die je bezoekt, en kan hij meelesen en meeschrijven met alles wat je verstuurt.
Het meest genante detail van 2026
En dan het detail dat dit incident van ‘zorgelijk’ naar ‘onbetaalbaar’ tilt. Volgens het incidentrapport van Mozilla waren alle acht certificaten ondertekend met zogeheten P-384-sleutels, en werden die sleutels gegenereerd in april 2025. Die sleutels hoorden onvoorstelbaar grote getallen te zijn. Dat waren ze niet. De gebruikte waarden waren kleiner dan 256, wat betekent dat iedereen die er moeite voor deed de sleutel kon achterhalen door simpelweg maximaal 256 mogelijke getallen te proberen. Dat is voor een moderne computer geen kluif, maar kinderwerk.
Het wordt beter, of erger. Onderzoeker Wayne vond de zwakte op 17 oktober door publiek beschikbare certificaatgegevens te scannen. Collega-onderzoeker Flüpke publiceerde daarop één van de gecompromitteerde privésleutels op GitHub, als demonstratie. De privésleutel van eMudhra’s certificaat “EM OV TLS CA – G3C” had als waarde: het getal 4. Het cijfer vier. Niet 4 miljoen, niet 4 tot de macht iets. Vier. BleepingComputer heeft onafhankelijk vastgesteld dat de gepubliceerde sleutel daadwerkelijk matcht met één van de ingetrokken certificaten. Dit is het digitale equivalent van een kluis met een hangslot uit de speelgoedwinkel.
eMudhra zelf schrijft het volgens de melding aan Mozilla toe aan een fout in een script dat in april 2025 certificaten genereerde. Door die fout werd er een tweede, zwakkere set sleutels aangemaakt, die per abuis werd gebruikt voor het ondertekenen van certificaten, omdat de labels op de goede en de slechte sleutels op elkaar leken. Dat is inmiddels de uitleg van het bedrijf; of het verhaal volledig klopt, is niet onafhankelijk bevestigd. Vermeldenswaard is dat een deel van de getroffen certificaten ook bij de certificaatautoriteit Sectigo werd aangeboden voor een zogeheten cross-signing, waarbij een andere autoriteit het certificaat extra geldigheid verleent.
Wat de browserbouwers doen
Mozilla reageerde snel. De organisatie blokkeerde de acht certificaten via OneCRL, het mechanisme waarmee Firefox certificaten intrekt, en bracht bijkomende Firefox-updates uit voor gebruikers die die blokkade om technische redenen nog niet hadden binnengehaald. Daarnaast haalt Mozilla het rootcertificaat waarmee de gecompromitteerde certificaten zijn ondertekend van de NSS-lijst met vertrouwde certificaten. In hun browsers en besturingssystemen trokken Google en Apple vergelijkbare blokkades door.
eMudhra stelt dat de meeste getroffen tussencertificaten nooit in productie zijn gebruikt en zegt geen bewijs te hebben gevonden dat er certificaten mee aan eindgebruikers zijn uitgegeven. Dat is het goede nieuws. Het slechte nieuws: de zwakke sleutels lagen sinds april 2025 klaar voor misbruik, en of iemand er iets mee gedaan heeft vóór de ontdekking, kan niemand met zekerheid zeggen. Nog niet, in elk geval. Mozilla heeft toegezegd waar mogelijk binnenkort met meer informatie te komen, en ook hoe de sleutels precies konden lekken is nog niet met zekerheid vastgesteld.
Voor de Nederlandse lezer is het gevaar beperkt maar reëel: wie slachtoffer wil worden van zo’n aanval, moet het verkeer van een gebruiker kunnen onderscheppen, bijvoorbeeld via een vals wifi-netwerk of gemanipuleerde netwerkapparatuur. Maar een gecompromitteerde autoriteit is vooral een waarschuwing dat het hele vertrouwensmodel van het web op z’n zachtst gezegd fragiel blijft. Deze editie bevat helaas meerdere van die waarschuwingen. Wees gerust: ze horen bij verschillende onderwerpen.
Ruim driehonderd valse Tor-exitnodes onderschepten verkeer
Kern van het nieuws: meer dan driehonderd gehackte en malafide Tor-exitnodes voerden op 2 oktober een gecoördineerde campagne uit om SSH-verbindingen te onderscheppen en onversleuteld mailverkeer te verzamelen. De knooppunten zijn inmiddels uit het netwerk verwijderd.
Even voor de duidelijkheid voor wie Tor (The Onion Router) niet dagelijks aanraakt: het Tor-netwerk is een wereldwijd netwerk dat internetverkeer via meerdere servers omleidt om de privacy van gebruikers te beschermen. Miljoenen mensen gebruiken het dagelijks, van journalisten tot gewone burgers die liever niet hebben dat hun internetprovider weet welke sites zij bezoeken. Het netwerk draait volledig op servers en bandbreedte die vrijwilligers doneren. Het verkeer stapt van het ene knooppunt naar het andere: eerst de entry guard, dan een tussenknooppunt, en uiteindelijk de exitnode, die het verzoek naar het gewone internet stuurt.
Die laatste stap is de zwakke plek, en wel op een intrinsieke manier. De beheerder van een exitnode kan het verkeer dat zijn knooppunt verlaat zien, hij weet alleen niet van wie het afkomstig is. En een minder zorgvuldige beheerder kan proberen een man-in-the-middle-aanval uit te voeren: zich voordoen als de bestemming en het verkeer van de gebruiker onderscheppen.
Wat er op 2 oktober gebeurde
Op vrijdag 2 oktober voerden meer dan driehonderd gehackte en malafide exitnodes een gecoördineerde campagne uit. Ter schaal: het hele Tor-netwerk telt ongeveer 3.000 exitnodes. Er werd dus op één dag ruim tien procent van de uitgangen gemanipuleerd. Dat meldde dinsdag een beveiligingsonderzoeker; het Tor Project, de organisatie achter de Tor-software, waarschuwde serverbeheerders begin deze maand al over de campagne. De betrokken exitnodes zijn inmiddels uit het netwerk verwijderd.
De campagne had twee doelen. Ten eerste: het verzamelen van onversleuteld mailverkeer. Op de servers werden bepaalde poorten geblokkeerd, waardoor alleen e-mailverkeer zonder versleuteling werd doorgelaten, het digitale equivalent van een brievenbus waarvan je de flap expres open laat staan.
Ten tweede: het onderscheppen van SSH-verbindingen. SSH (Secure Shell) is de standaardmethode waarmee systeembeheerders veilig op afstand inloggen op servers. De onderschepte verbindingen werden doorgestuurd naar speciaal opgezette interceptieservers. Er is een gelukkig detail in dit verhaal: SSH waarschuwt gebruikers voor deze omleiding. Wie de waarschuwing negeerde en tóch verbinding maakte, kon zijn wachtwoord kwijtraken en de aanvaller kon vervolgens elke opdracht meelezen die werd ingetypt. Wie de waarschuwing wél serieus nam en afbrak, is ontsnapt. Zelden was een melding op een commandoregel meer waard dan die ene seconde van ongemak.
Hoe, en door wie? Onbekend
Volgens het Tor Project en betrokken serverbeheerders wisten de aanvallers normale Tor-servers te hacken en vervolgens de Tor-configuratie aan te passen. Bij servers die geen exitnode waren, werd de configuratie zodanig veranderd dat ze alsnog als exitnode gingen fungeren, bruikbaar voor de campagne. Twee grote vragen blijven open. Wie erachter de campagne zit, is onbekend. En hoe de aanvallers zoveel servers wisten te compromitteren, eveneens.
Belangrijk om te benoemen, omdat dit soort nieuws graag wordt gemythologiseerd: dit is geen breuk in de Tor-software zelf. Het is misbruik van vertrouwen in de infrastructuur, gehackte en malafide machines die zich in het netwerk wrongen. Tors belofte is nooit dat elke exitnode een lieverdje is; de software ontwerpt er zelfs van uit dat sommige knooppunten vijandig zijn. De opvallende factor hier is de schaal en coördinatie.
Praktisch advies, dat ook buiten deze campagne geldt: gebruik versleutelde verbindingen, neem SSH-waarschuwingen serieus en verstuur geen onversleutelde e-mail. Dat zijn drie adviezen die in 2026 eigenlijk net zoiets zijn als ‘eet groente’: saai, bewezen en door velen genegeerd.
Linux Foundation: een kwart van alle nieuwe pull requests is AI-rommel
Kern van het nieuws: de Linux Foundation publiceerde een onderzoeksrapport over de invloed van generatieve AI op open-source-ontwikkeling. De meest opvallende conclusie: naar schatting 25 procent van alle nieuwe pull requests is laagwaardige, door AI gegenereerde rommel.
Dan tot slot het verhaal waarbij de technologie zichzelf in de vingers snijdt. De Linux Foundation, de organisatie achter onder meer het Linux-besturingssysteem, publiceerde dinsdag een onderzoek naar de gevolgen van generatieve AI (kunstmatige intelligentie die zelf teksten of code produceert) voor open-source-ontwikkeling. Open source is software waarvan de broncode vrij beschikbaar is, en die door een wereldwijde gemeenschap van vrijwillige ontwikkelaars wordt onderhouden.
Eerst het goede nieuws, want dat is er ook. Het onderzoek concludeert dat generatieve AI de potentie heeft de ontwikkelingstijd voor open-sourcecode te halveren. Die productiviteitswinst gold bovendien over alle soorten ontwikkelwerk. Voorts zei 59 procent van de projectbeheerders dat het aantal AI-gegenereerde bijdragen groeit, en 71 procent was het erover eens dat generatieve AI de drempel om aan open source bij te dragen verlaagt. Dat laatste is op zich een mooie ontwikkeling: hoe meer mensen meedoen, hoe beter.
En dan de keerzijde
De keerzijde zit in één regel van het rapport: naar schatting 25 procent van alle binnenkomende pull requests is laagwaardige AI-rommel, in het Engels genoemd “AI slop”. Een pull request is een voorstel voor een codewijziging, aangeleverd door een ander, dat een projectbeheerder moet beoordelen, testen en vervolgens accepteren of afwijzen. Elke pull request kost dus beoordelingstijd van iemand die dat werk meestal onbetaald doet.
Een kwart van dat beoordelingswerk betreft dus automatische rommel, aangeleverd door tools die code ‘genereren’ in plaats van schrijven, vaak door gebruikers die de inhoud niet of nauwelijks hebben gecontroleerd en die hopen op een snelle bijdrage aan hun naam. De mensen die er dan bovenop zitten, zijn dezelfde vrijwillige beheerders die eerst al te weinig tijd hadden. Dit is een klassiek geval van automatiseer de pret, en de narigheid automatiseert vanzelf mee.
De Linux Foundation benoemt het risico zelf ook, in neutrale onderzoekstaal. De anonieme kwaliteitdalers zullen naar verwachting niet verdwijnen, maar eerder toenemen nu steeds meer nieuwkomers AI-modellen hun patches laten schrijven. Het Linux-kernelteam worstelde onlangs al met vergelijkbare praktijken rond automatisch aangeleverde correcties.
De ironie is gratis
De mooiste ironie van dit verhaal: open source was decennialang het platform waar computersoftware altijd al half ‘automatisch’ leek een wereld van scripts die scripts schrijven, bots die code bouwen en CI-systemen die alles testen. Nu is er eindelijk echt kunstmatige intelligentie die kan meewerken, en het eerste grootschalige effect is niet een verdubbeling van de productiviteit, maar een verdrievoudiging van het prullenwerk dat eerst verwijderd moet worden. De toekomst bleek niet een tweede paar handen, maar vooral een extra kliko naast het bureau.
Wat nog moet blijken: of projecten formele regels gaan stellen voor AI-bijdragen, of tools ontwikkelen om zulke rommel bij de poort te filteren, en of de 25 procent de komende jaren piekt of blijft groeien. Die cijfers komen van de Linux Foundation en dus uit betrouwbaar onderzoek, maar voorspellingen over hoe snel dit verandert, bestaan nog niet.
Outro: patch, update, en wantrouw vooral alles
Als je deze editie met samengeknepen billen hebt gelezen: goed zo, dat is de juiste instelling. Samengevat in één zin: PHP moest noodpatches aankondigen vanwege gelekte lekken, duizenden Plex-servers staan nog steeds open hoewel de patch al meer dan een maand verkrijgbaar is, een certificaatautoriteit verloor sleutels waarvan de sterkste waarde ‘vier’ was, het Tor-netwerk had tien procent nepuitgangen, en een kwart van alles wat AI tegenwoordig naar open source stuurt is rommel die eerst iemand anders moet opruimen.
Het verbindende thema is geen technologie, maar vertrouwen. We vertrouwen servers, certificaten, knooppunten en bijdragen, en alle vier leverden deze week bewijs dat dat vertrouwen onderhoud nodig heeft. Van een paar van die klussen zijn onder andere een Plex-update en een PHP-versiecheck dat hoort gewoon bij jouw eigen takenlijst en onderhoud. De rest is het werk van beheerders en systeembeheerders, aan wie je vandaag best een meelevende gedachte kunt geven.
Tot morgen, in Tech Shorts. Neem ondertussen het advies uit deze editie ter harte: update alles wat kan, negeer geen enkele waarschuwing op een commandoregel, en als je ergens een sleutel tegenkomt die gewoon ‘4’ heet: ga dan niet in het verhaal mee dat het “strategisch versleuteld” is.
Eater
