Cyberhelden 89 - PHP2Shell dus uit voorzorg het internet uit

ChatGPT helpt Jelle zijn vaatwasser in te bouwen, maar heeft de keukenplint niet goed ingeschat. Ronald stelt voor om de bedrading naar het display af te tappen en de resterende wastijd naar een telefoon te sturen.

We nemen op terwijl Nederlandse websites uit voorzorg offline staan vanwege PHP2Shell, twee ernstige kwetsbaarheden in software waarop veel websites draaien. Tijdens het gesprek verschijnt de patch en begint Marco meteen te zoeken. We bespreken wat een aanvaller ermee kan, waarom een crash nog geen werkende hack is en wanneer je besluit je dienstverlening stil te leggen.

Jelle leest een gedicht voor. PoeLLM-malware haalt daar vier woorden uit, vertaalt die met een woordenlijst naar getallen en vindt zo het adres van haar commandoserver. De aanvaller kan verhuizen door het gedicht te veranderen. Marco neemt WPSplinter mee: fouten in oude Broadcom-wifisoftware waarmee iemand binnen radiobereik een router kan aanvallen zonder het wifiwachtwoord.

Bij certificaatuitgever eMudhra blijken acht geheime sleutels eenvoudig te raden. Eentje is gewoon het getal 4. Hoe bescherm je internetverbindingen als de partij die certificaten uitgeeft zulke sleutels gebruikt? Claude duikt ook op in een ander cryptografisch verhaal: onderzoekers reconstrueren ermee hoe startwaarden voor veelgebruikte elliptische krommen zijn gemaakt. Dat werpt nieuw licht op de jarenlange verdenking van een ingebouwde achterdeur.

Volgens Brian Krebs onderzoeken Amerikaanse rechercheurs banden tussen ransomware-onderhandelaars en ShinyHunters. Wat als de specialist die namens jouw bedrijf onderhandelt ook voor de afperser werkt? ProPublica beschrijft hoe de regering-Trump haar cyberdienst heimelijk een stemmachine wilde laten hacken. Het plan strandde mede door personeelsbezuinigingen.

Het Analistennetwerk Nationale Veiligheid waarschuwt in de Rijksbrede Risicoanalyse 2026 voor meer digitale druk door staten, afhankelijkheid van buitenlandse leveranciers en crises die tegelijk capaciteit opeisen. Hoeveel zeggenschap houd je na aankoop van een systeem? En wie helpt je nog als iedereen tegelijk problemen heeft? We bespreken de conclusies, maar zijn ook kritisch: krijgt de snelheid van AI voldoende aandacht, hoe actueel is zo'n rapport bij publicatie en welke keuzes moet een bestuurder er vervolgens mee maken? Reservevoorzieningen kosten geld. Alles op maximale efficiëntie inrichten heeft ook een prijs.

Opgenomen op 21 oktober 2026. Aanvulling bij PHP2Shell: volgens het officiële PHP-advies is alleen updaten een volledige oplossing. De besproken configuratiewijziging blokkeert niet alle aanvalspaden.

Bronnen:
- PHP: beveiligingsadvies en updates: https://www.php.net/archive/2026.php
- Black Lotus Labs over PoeLLM: https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware
- Quentin Kaiser over WPSplinter: https://qkaiser.github.io/broadcom-wps/
- Scott Helme over eMudhra: https://scotthelme.co.uk/eight-bits-of-trust-emudhras-ca-keys-cracked-in-milliseconds/
- Anthropic over de cryptografische startwaarden: https://www.anthropic.com/research/ecdsa-curve-origins
- Krebs over ShinyHunters en onderhandelaars: https://krebsonsecurity.com/2026/10/feds-suspect-ransom-negotiator-ran-shinyhunters-extortion-site/
- ProPublica over de stemmachines: https://www.propublica.org/article/cisa-election-security-donald-trump
- Rijksbrede Risicoanalyse 2026: https://www.nctv.nl/documenten/2026/10/16/rijksbrede-risicoanalyse-nationale-veiligheid-2026
- Themarapport Cyberdreigingen 2026: https://www.nctv.nl/documenten/2026/10/16/themarapport-cyberdreigingen-2026