Black October: wat er echt speelt en wat jij vandaag met je website doet

Deze week kwamen er op mijn telefoon drie video's voorbij over "Black October". Het internet zou in brand staan en AI zou half het internet hacken. In een ervan, van de Amerikaanse AI-maker Nate B. Jones, zat een korte prompt waarmee je AI je eigen computer en je online aanwezigheid laat nalopen op lekken. Die prompt is bruikbaar. Het verhaal eromheen is groter gemaakt dan het is.

Hier lees je wat er gebeurde, wat je moet doen als je een WordPress-site hebt, en de prompt in het Nederlands. Ik heb er één zin aan toegevoegd, zodat hij veiliger is.

Wat er gebeurde

"Black October" is geen officiële naam. Zo noemen de media een reeks beveiligingsproblemen die deze maand kort na elkaar opdoken.

Het grootste probleem heet PHP2Shell: twee lekken in PHP.
PHP is de programmeertaal waar een groot deel van alle websites op draait, waaronder elke WordPress-site. Via die lekken kon iemand van buitenaf code uitvoeren op de server van een website, zonder in te loggen. Op 21 oktober kwam de reparatie uit.

AI speelt hier een rol. Onderzoekers vonden de lekken al in augustus, met hulp van AI-modellen van OpenAI en Google. De details lekten uit voordat de reparatie klaar was. Daardoor moest het ineens snel.

Eén grote aanval van AI op het hele internet is het dus niet. Het zijn losse incidenten die toevallig in dezelfde weken vielen, en bij de meeste speelde AI geen rol.

Heb je een WordPress-site? Dan moet je dit weten

WordPress en je plugins bijwerken is deze keer niet genoeg. Het lek zit in PHP op de server, en die server beheert je hostingpartij.

1. Log in bij je hosting, het pakket waar je website staat, en zoek de PHP-versie. Meestal staat die onder een kopje als "PHP-instellingen".

2. Kijk naar het nummer. Veilig is 8.2.35, 8.3.36, 8.4.27, 8.5.12 of hoger in dezelfde reeks.

3. Staat er 8.1, 8.0, 7.4 of ouder? Daar komt geen gewone update meer voor. Zet je site over naar 8.2 of hoger, of vraag je hostingpartij dat te doen.

4. Weet je het niet zeker? Stuur je hostingpartij deze zin: "Is de PHP-versie van mijn website bijgewerkt tegen PHP2Shell (CVE-2026-109618 en CVE-2026-109619)?" Een goede hoster weet meteen waar je het over hebt.

Staat je site op Wix, Squarespace of Shopify? Dan beheert dat platform de server zelf.

De prompt: laat AI je eigen zaak nalopen

De prompt uit de video:

Loop mijn computer, mijn projecten en alles wat je online over mij en mijn bedrijf kunt vinden na op beveiligingsproblemen. Kijk vooral naar bekende lekken van de afgelopen weken, zoals PHP2Shell, en zoek online op wat er nieuw is. Verander niets, installeer niets en vraag nooit om mijn wachtwoorden. Geef me een lijst van wat je vindt, op volgorde van hoe dringend het is, met per punt wat ik moet doen.

Gebruik hem in Claude of ChatGPT als app op je computer, zoals Claude voor desktop of Codex. Die mogen in je bestanden kijken. In het gewone chatvenster in je browser kijkt hij alleen online.

De zin "verander niets, installeer niets" heb ik toegevoegd. Je geeft een AI toegang tot je computer. Hij mag kijken en een lijst maken. Wat er daarna gebeurt, beslis jij, punt voor punt.

Wat je terugkrijgt is een lijst, bijvoorbeeld een plugin die al jaren niet is bijgewerkt, een oud account dat nog op je e-mailadres staat of een wachtwoord dat in een gewoon tekstbestand staat. Niet alles is even erg. Begin bovenaan.

Bouw je zelf apps met AI?

Open dan Claude Code of Codex in de map van je project en geef dezelfde prompt, met deze zin erbij: "Kijk ook welke onderdelen van mijn app verouderd zijn en of daar bekende lekken in zitten." Bij een app die met npm werkt, draait hij dan zelf npm audit en legt hij uit wat eruit komt.

Wat ik zelf doe

Mijn websites draaien niet op PHP, dus PHP2Shell raakt ze niet. Toch draait er elke maandag een AI-controle op al mijn sites. Die kijkt of er onderdelen verouderd zijn en maakt alleen een melding als er iets te doen is. Gisteren zat daar nog een dringende update tussen voor het onderdeel waar mijn site op gebouwd is. Die stond dezelfde middag live.

Begin vandaag bij stap 1: zoek op welke PHP-versie je website heeft. Dat kost je vijf minuten, en je weet het daarna zeker.