Wat is de geschiedenis van Exploit?

Exploits zijn zo oud als netwerksoftware. De Morris-worm van 2 november 1988 verspreidde zich met een buffer overflow in de finger-dienst en een gat in de debugmodus van sendmail. Belangrijke mijlpalen: 1988: De Morris-worm gebruikt exploits om zich over het internet te verspreiden 1996: Elias Levy (Aleph One) legt in Phrack uit hoe je een buffer overflow misbruikt: Smashing the Stack for Fun and Profit 2003: H. D. Moore start Metasploit, een raamwerk voor het testen van exploits 2026:

Waarom is Exploit belangrijk?

Een goed begrip van Exploit is essentieel voor iedereen die werkt met websites, webhosting of online technologie. Een exploit is code of een reeks handelingen die een beveiligingslek in software misbruikt om iets te doen wat niet mag.

Terug naar begrippenlijst

Exploit

Een exploit is code of een reeks handelingen die een beveiligingslek in software misbruikt om iets te doen wat niet mag.

Actueel: CVE-2026-109618 en -109619: de technische deepdive

Een exploit is een stuk code of een reeks verzoeken die een beveiligingslek in software misbruikt, zodat een aanvaller iets kan wat niet de bedoeling is. Denk aan inloggen zonder wachtwoord, bestanden uitlezen of eigen code op een server laten draaien. Het woord komt van het Engelse to exploit, uitbuiten.

Een lek en een exploit zijn niet hetzelfde: het lek is de fout in de software, de exploit is het gereedschap dat die fout benut. Daartussen zit vaak een proof of concept, een eerste demonstratie die laat zien dát misbruik kan, maar die nog niet overal werkt. Een remote exploit werkt via het netwerk, terwijl een local exploit eerst toegang tot het systeem nodig heeft.

Hoe snel dat kan gaan, liet het PHP-lek van oktober 2026 zien. Kort na de aankondiging ging online al een aanvalstool rond, terwijl de reparatie pas op 21 oktober verscheen. Onder onderzoekers was omstreden of die tool echt werkte, en volgens de eigen documentatie werkte de publieke proof of concept alleen op een speciaal afgestelde Apache-server met PHP als module. Bovendien worden lekken na een patch vaak snel misbruikt, omdat de patch laat zien waar de fout zat.

Een exploit is zelf geen malware, maar wel vaak de deur waardoor malware binnenkomt. Bij WordPress-sites gaat het meestal om bekende lekken in verouderde plugins en thema's, die aanvallers automatisch opsporen. Bijwerken sluit die deur. Een malware-scan vindt daarna wat een geslaagde aanval achterliet, zoals een onbekend PHP-bestand in de map met uploads.

Geschiedenis

Exploits zijn zo oud als netwerksoftware. De Morris-worm van 2 november 1988 verspreidde zich met een buffer overflow in de finger-dienst en een gat in de debugmodus van sendmail.

Belangrijke mijlpalen:

1988: De Morris-worm gebruikt exploits om zich over het internet te verspreiden
1996: Elias Levy (Aleph One) legt in Phrack uit hoe je een buffer overflow misbruikt: Smashing the Stack for Fun and Profit
2003: H. D. Moore start Metasploit, een raamwerk voor het testen van exploits
2026: Kort na de aankondiging van twee kritieke PHP-lekken gaat al een aanvalstool rond, nog voor de reparatie verschijnt

Bronnen

Wikipedia - Exploit (computer security)
MITRE ATT&CK - T1190: Exploit Public-Facing Application
CISA - Known Exploited Vulnerabilities Catalog
CERT-EU (2026) - Security Advisory 2026-018: Critical Vulnerabilities in PHP

CVE-2026-109619, een pointer die zijn request overleeft. Sommige globals wijzen na afloop van een request nog naar het request-geheugen dat ZendMM al heeft vrijgegeven. Bevestigd is dat voor de session-upload-progress-data en, in PHP 8.5, voor de backtrace van de laatste fatal error. Het volgende request op dezelfde worker leest die oude pointer. Zo lekt de verouderde PS(id)-string als out-of-bounds heap read terug in een Set-Cookie-header, zonder dat het script iets hoeft te doen.

Van zo'n lek naar code-executie is nog een flinke stap. ASLR moet eerst omzeild worden, met een arbitrary read, een tweede codepointer of brute force met een crash als signaal. Berardinelli noemt dat "conventional PHP memory corruption engineering" en waarschuwt dat de publieke bronnen de laatste stap niet volledig aantonen. Zijn conclusie vatten we graag samen met zijn eigen woorden: "Exploit unreliability is not a mitigation."

CVE	Primitief	Trigger	Gerepareerd in
CVE-2026-109618	Niet-geïnitialiseerde bucket na een `longjmp()` bij geheugengebrek	Opgeblazen multipart-body tot aan `memory_limit`	8.5.12, 8.4.27, 8.3.36, 8.2.35; bronbackports voor 7.4, 8.0 en 8.1
CVE-2026-109619	Verouderde pointer naar request-heap in globals	Twee requests op dezelfde worker, via upload progress	Idem

Je winkelwagen is leeg

Je winkelwagen is leeg

Exploit

Geschiedenis

Bronnen

Gerelateerde artikelen