PHP2Shell bleek al vóór de patchdag aangevallen; eMudhra verlaat de TLS-markt
AWS meldt exploitpogingen voor PHP2Shell van vóór de publieke disclosure; de aanbevolen patchurgentie wordt daarmee nog concreter. Intussen kondigt eMudhra aan uit de wereldwijde SSL/TLS-certificaatmarkt te stappen na het recente sleutelincident. Ook voor Linux-beheerders is er een nieuw signaal: meerdere kwetsbaarheidsmeldingen belandden publiek op de kernelmailinglijst terwijl fixes nog niet overal beschikbaar waren.
PHP2Shell: AWS zag een poging vier dagen vóór de publieke disclosure
De namiddagupdate van gisteren behandelde de gepubliceerde PHP-patches. AWS Threat Intelligence voegt daar nu een operationeel datapunt aan toe: zijn MadPot-honeypottelemetrie zou op 17 oktober al een exploitpoging voor PHP2Shell hebben gezien, vier dagen vóór de publieke disclosure van CVE-2026-109618 en CVE-2026-109619. AWS zag op 21 oktober bovendien meerdere proof-of-concepts en pogingen vanaf verschillende anonimisatienetwerken vóór het embargo afliep; na de release zou misbruik snel breed zijn geworden.
Dat is relevant omdat patchplanning niet meer veilig kan uitgaan van de publicatiedatum als begin van het risico. AWS zegt uitdrukkelijk niet te weten hoe de vroegste actor exploitinformatie verkreeg, noch of die poging op een echt systeem zou zijn geslaagd. De waarneming is leveranciersrapportage uit een honeypot, geen wereldwijde meting van compromitteringen.
Voor internetbereikbare PHP-diensten blijft upgraden volgens AWS de enige volledige remediation. Als tijdelijke maatregel noemt het bedrijf het blokkeren van multipart file uploads, maar alleen na controle van het effect op de applicatie. Begin logonderzoek ten minste op 17 oktober, let op uploads met PHP_SESSION_UPLOAD_PROGRESS en controleer op onverwachte processen of bestandswijzigingen. De in de HN-discussie genoemde, niet-geverifieerde claims over scans veranderen die basisactie niet. AWS: tijdlijn, detecties en mitigaties · HN-discussie
eMudhra trekt zich terug uit wereldwijde SSL/TLS-certificaten
Na de sleutelcompromittering die de namiddagupdate van dinsdag 20 oktober en die van gisteren behandelden, heeft eMudhra besloten vrijwillig uit de wereldwijde SSL/TLS-certificaatmarkt te stappen. Het bedrijf zegt klanten met de bestaande G1 RSA-roots te blijven bedienen totdat de overgang is voltooid, gratis vervangende certificaten via partners te regelen en revocation- en certificaatstatusdiensten draaiend te houden tot alle certificaten zijn vervangen of verlopen.
Dat is een wezenlijke nieuwe ontwikkeling: eerder ging het om de blokkade van acht intermediates en de zwakke sleutels; nu verdwijnt eMudhra zelf uit deze markt. Voor organisaties met zulke certificaten is het een aanleiding om niet alleen trust stores bij te werken, maar ook certificaatinventaris, uitgiftepartner en vervangingsplanning na te lopen.
De verdere geruststelling komt van eMudhra zelf: het bedrijf stelt dat er geen eindcertificaten via de getroffen CA’s zijn uitgegeven, dat de infrastructuur niet is gecompromitteerd en geen data is gelekt. Dat is geen onafhankelijke incidentanalyse. eMudhra zegt nog wel zijn verplichtingen aan browser-rootprogramma’s na te komen, waaronder een volledig root-cause-rapport. eMudhra: aankondiging en overgangsbelofte · HN-discussie
Meerdere kernelmeldingen stonden voortijdig op de openbare LKML
Volgens Phoronix zijn meerdere nieuwe kwetsbaarheidsmeldingen van Trend Micro's Zero Day Initiative per ongeluk op de openbare Linux Kernel Mailing List terechtgekomen, in plaats van via de gebruikelijke private securityroute. Het verslag noemt onder meer twee als CVSS 9.0 geclassificeerde RCE-risico's in SMB Direct en KSMBD, naast lokale privilege-escalatie- en informatielekmeldingen. Voor sommige zou al een patch in test of in een -next-branch bestaan; andere zouden nog op een upstreamfix wachten.
Voor beheerders is dit vooral een inventarisatievraag: controleer of SMB Direct, KSMBD, VMware's vmwgfx of de genoemde netwerkpaden werkelijk in de eigen kernelconfiguratie en blootstellingsroute voorkomen, en volg distributiebackports en upstreamstabilereleases. De berichten zijn geen bewijs dat alle Linux-systemen geraakt zijn of dat er publiek bruikbare exploits bestaan.
De publicatie maakt de use-case wel urgenter voor systemen die zulke componenten draaien: kwetsbaarheidsdetails zijn eerder publiek dan de normale gecoördineerde patchcyclus. De HN-discussie wijst eveneens op uiteenlopende bereikbaarheid per subsysteem, maar biedt geen volledige affected-versiematrix. Phoronix: gemelde componenten en patchstatus · HN-discussie
Verder nog
- Claude Duet brengt een proactieve cloudagent als research preview: Anthropic laat de agent in een eigen cloudcomputer werken met gekoppelde apps, ochtendbriefings en goedkeuring voor gevoelige handelingen. Hij deelt de gebruikslimiet met gewone Claude-sessies en kan volgens Anthropic urgentie verkeerd inschatten of berichten missen tussen controles. De preview staat op een wachtlijst voor Pro- en Max-gebruikers in de VS; Team en Enterprise ontbreken nog. Productbeschrijving · HN-discussie
- Crystal 1.22 maakt de native event loop standaard: alle targets gebruiken voortaan direct de systeemselector;
libeventblijft als opt-infallback over. Verder is aarch64-Linux Tier 1, komt LLVM 23/24-ondersteuning erbij en verandert een kapotte stdout/stderr-pipe standaard in directe exit;Process.forkis verwijderd. Test dus procespijpen, event-loopgedrag en eventuele oude fork-aanroepen vóór een brede upgrade. Crystal 1.22-release notes · HN-discussie
Deze update is gegenereerd met GPT-5.6 Terra.