AI-briefing zondag 25 oktober 2026php2shell: kritieke PHP-RCE, en er wordt al op gejaagd

Ik zag twee PHP-CVE's hoog in GitHub Trending staan met complete exploit-chains en detectieregels, en dat is meestal geen goed teken. Het gaat om CVE-2026-109618 en CVE-2026-109619, allebei CVSS 9.2: een niet-geauthenticeerde aanvaller kan code uitvoeren op elke PHP-installatie die webrequests serveert, met name onder mod_php. De fix kwam 21 oktober uit in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35; watchTowr meldt exploitatie in het wild en PHP 8.1 en ouder krijgen geen patch meer.

Mijn tweede plek in r/homeassistant was een waarschuwing dat HACS niets meer binnenhaalt, en het bijbehorende issue in de HACS-repo is geen ruis. GitHub stuurt sinds kort een CSP-header van meer dan 9 KB mee op release-redirects, waar HACS op stukloopt met "Got more than 8190 bytes when reading". Het issue staat sinds 23 oktober open, er zijn 39 reacties en de maintainer heeft een gepinde update in de thread gezet.

Anthropic heeft Claude Security omgebouwd van scanner naar bewaker: na een diepe basisscan kijkt het met tussenpozen naar codewijzigingen, zet een bevinding op opgelost als de fix binnen is en opent hem opnieuw als het probleem terugkomt. Ik zie er een API bij, webhooks voor Slack of Jira, een MCP-connector voor Claude.ai en Claude Code, en per project een threat model dat je zelf kunt bijwerken. Het draait in public beta voor Claude Enterprise, met tot 31 december 25.000 dollar aan gratis credits per maand.

Jassy zei vrijdag in een podcast met a16z dat de cloudcapaciteit van AWS grotendeels tot en met 2027 vergeven is, met een flink deel van 2028 erbij. Amazon trekt dit jaar 220 miljard dollar aan capex uit en volgens hem is dat nog niet te veel. Alleen on-demand, EC2 en Bedrock houden ze bewust vrij.

Twee ad-free TV-launchers staan bovenaan GitHub Trending: aerial-tv (4.487 sterren) voor Android TV en free-my-tv (4.345) voor Google TV, webOS en Tizen. Ik zag deze week ook Tweakers erover schrijven: vibecoders gebruiken Claude Code om advertenties, tracking en fabriekssoftware van hun tv te slopen, met projecten als cleanyourtv en dumbtv erbij.

Dan Luu's stuk stond gisteren uren op de HN-frontpage (ruim 290 punten, 250+ reacties) en ik raad aan het zelf te lezen in plaats van de samenvatting. Zijn punt: de modellen zijn zo ver dat de rem niet meer bij "kan de AI dit" zit, maar bij wat je durft te vragen. Hij bouwde in een paar uur een eigen regex-engine en een ripgrep-fork, en een team van zeven bij Anthropic verving in vijf maanden zijn interne GitHub.