Thomas Verwer retweeted
I'll be the first to admit I'm mediocre at exploit development, but I am in contact with enough extremely talented exploit developers to say this for certain:
Anyone claiming they were "easily" able to generate a working php2shell exploit with AI is either:
a) a world-class exploit developer with an extreme case of imposter syndrome.
b) currently looking at some very confident-sounding but wrong LLM output.
I'm rather certain it's the latter based on the number of AI-hallucinated exploits I've seen posted on GitHub. Threat actors are also blasting my honeypot network with "php2shell" exploits that not only don't work, but aren't even within 10,000 miles of anything to do with how the exploit actually works.
I've seen the same technique from the attached image in multiple alleged "php2shell exploits", including one on GitHub with over 100 stars. Problem is, it's not php2shell, nor is it even a vulnerability at all. It's a technique known as "session poisoning", which can be leveraged to exploit local file inclusion (LFI) vulnerabilities in PHP apps (not PHP itself).
The only thing it has in common with CVE-2026-109618/CVE-2026-109619 is they both use the "PHP_SESSION_UPLOAD_PROGRESS" feature. And mitigation advice for both issues reference setting "session.upload_progress.enabled" to "Off".
People are shoving loose details of the vulnerability into LLMs, the LLMs are keying in on the "PHP_SESSION_UPLOAD_PROGRESS" string, then generating session poisoning code that has nothing to do with the actual CVE. And because the people doing this have absolutely no idea what they're doing, they're confident enough to post their "proof of concept exploit" to GitHub and share it on social media.
So if you see people talking about "session poisoning + LFI" it's likely their LLM hallucinated an exploit based on a 2018 blog by Orange Tsai talking about a local file inclusion attack vector.
What's even worse is that "security researchers" are then using LLMs to triage these exploitation attempts, falling victim to the same hallucinations, then confirming there is ongoing mass-exploitation (there currently isn't).
The actual real exploit is very difficult to exploit, and so far I've not seen anyone successfully get it working on more than a handful of PHP version with highly-specific configurations.
LLMs are useful tools in the hands of skilled professionals, but for others, they're often just a Dunning-Kruger accelerator.
Thomas Verwer retweeted
A former senior cybersecurity researcher with Microsoft’s Detection and Response Team received a care package of Russian trinkets on his doorstep after investigating Midnight Blizzard 😯: theregister.com/cyber-crime/…
Thomas Verwer retweeted
"Une vulnérabilité difficile à anticiper." 😂
Absolute bullshit, les correctifs sont disponibles depuis plus de 3 mois 🤷♂️
La gravité des failles était connue ---> xitter.cf/bluetouff/status/21095…
Le correctif d'août : danfoss.com/en/service-and-s…
🇫🇷Une cyberattaque de grande ampleur frappe ce lundi plusieurs grandes enseignes françaises.
Près de 150 magasins Intermarché seraient touchés, avec des pertes qui pourraient atteindre plusieurs millions d'euros à l'échelle nationale.
Les pirates auraient pris le contrôle à distance de systèmes de régulation frigorifique du fabricant Danfoss, déclenchant un dégivrage forcé et continu avec des températures programmées jusqu'à 50 °C.
Résultat : des stocks entiers de produits frais et surgelés détruits en quelques heures. À Haguenau, deux supermarchés déplorent déjà 270 000 euros de marchandises perdues. On parle de coût économique et il faut penser aussi à toute la nourriture gaspillée.
Cette attaque révèle une vulnérabilité particulièrement préoccupante pour la sécurité nationale. En cas de conflit, une puissance hostile pourrait exploiter ce type de faille pour perturber simultanément des milliers d'installations frigorifiques, détruire des stocks alimentaires et désorganiser l'approvisionnement des Français.
La dépendance numérique de notre chaîne alimentaire constitue ainsi un potentiel levier de déstabilisation et je pense qu'il faut prendre cette menace extrêmement au sérieux. Cette cyberattaque nous rappelle qu'une simple vulnérabilité informatique peut avoir des conséquences physiques et économiques considérables.
Une vulnérabilité difficile à anticiper.
Thomas Verwer retweeted
BREAKING: 🇫🇷 A major cyberattack has hit supermarket refrigeration systems across France, reportedly causing fresh and frozen food to spoil after hackers remotely manipulated temperature controls.
According to BFMTV, the attack began overnight from Sunday into Monday, targeting older versions of refrigeration-control software supplied by Danish company Danfoss.
The attackers allegedly exploited the systems’ defrosting function, forcing refrigeration equipment to heat continuously instead of keeping products cold. Temperatures were reportedly set as high as 50°C, destroying entire stocks of food within hours.
Several major supermarket chains have been affected, including Intermarché, Super U and E.Leclerc. Metro stores and independent businesses, including butcher shops also have been impacted.
Around 150 Intermarché stores are reportedly affected, according to industry sources cited by BFMTV. The full number of affected locations remains unclear.
The financial damage is already significant. In Haguenau, Alsace, an Intermarché store reportedly lost its entire frozen-food stock, worth approximately €50,000. A nearby Super U allegedly had to discard both fresh and frozen products, with losses estimated at €220,000. An E.Leclerc store in the same town was also affected, although its losses had not yet been calculated.
The combined losses reported at the Intermarché and Super U stores in Haguenau alone amount to around €270,000. Nationwide damage could reach several million euros.
Intermarché reportedly confirmed the incident in an internal communication, warning that several stores had suffered losses of frozen products. Coopérative U also acknowledged the attack and established crisis teams to assist affected stores and coordinate with refrigeration specialists.
Technical investigations are ongoing, and the full extent of the damage has yet to be established.
Authorities and companies are still working to determine the full circumstances of the attack. The identity of the perpetrators has not been confirmed.
Thomas Verwer retweeted
Last week some of South Korea's biggest banks were hit by a cyberattack. Thanks to a report from CrowdStrike tonight, we now know the entire hack may have been done by a single person. He used a combined stack of an open-source AI penetration tool named ARTEX, DeepSeek v4.1-Flash, GLM-5.3, Grok 4.6, and Claude Code.
Thomas Verwer retweeted
I’ve been lucky to have some amazing moments in my career and today was another. A day I won’t forget. ☘️
Thomas Verwer retweeted
every week I become a little bit more of a "if LLMs are 10x better at writing software, where is all the 10x better / faster software" truther – at Scenic Oaks, TX
Thomas Verwer retweeted
Europe looking to ban VPN! Who put these people in charge? Europe used to be a symbol for freedom and an example to be proud of. It’s becoming a communist region with people nobody voted for !!!
Free Europe 🙏
🇪🇺 EU Vice-President Henna Virkkunen warns VPNs will be addressed under upcoming online age and identity verification rules.
“VPN… must not allow the system to be circumvented,” she said, responding to concerns users could bypass the new EU age and ID system.
Follow: @europa
Thomas Verwer retweeted
Elon Musk avait dit un truc qui m'avait marqué sur l'allocation de ressources. En substance : passé un certain niveau de richesse, l'argent n'est plus de la consommation, c'est de l'allocation de capital.
Cette phrase change tout.
L'économie, dans le fond, c'est juste un problème d'allocation. Tu as des ressources finies et des usages infinis. Qui décide où va quoi ?
Imagine une cour de récré. 100 enfants, des paquets de cartes Pokémon distribués au hasard. Tu laisses faire. Très vite, un ordre émerge. Les bons joueurs accumulent les cartes rares, les collectionneurs trient, les négociateurs trouvent des deals. Personne n'a planifié. Et pourtant chaque carte finit dans les mains de celui qui en tire le plus de valeur. Le système maximise le bonheur total de la cour. C'est ça, la main invisible.
Maintenant fais entrer la maîtresse. Elle trouve ça injuste. Léo a 50 cartes, Tom en a 3. Elle confisque, redistribue, impose l'égalité. Trois effets immédiats. Les bons joueurs arrêtent de jouer, à quoi bon. Les mauvais n'ont plus de raison de progresser, ils auront leur part. Les échanges s'effondrent. La cour est égale, et morte. Elle a maximisé l'égalité, elle a détruit le bonheur.
Le problème de la maîtresse, c'est qu'elle ne peut pas avoir l'information que la cour avait collectivement. C'est le problème du calcul économique de Mises, formulé en 1920. L'URSS a essayé de le résoudre pendant 70 ans avec le Gosplan. Résultat : pénuries, queues, effondrement. Pas parce que les Soviétiques étaient bêtes, parce que le problème est mathématiquement insoluble en mode centralisé.
Quand Musk a 200 milliards, il ne les consomme pas, il les alloue. SpaceX, Starlink, Neuralink, xAI. Chaque dollar est un pari sur le futur. Et lui a un track record. PayPal, Tesla, SpaceX. Il a démontré qu'il sait identifier des problèmes immenses et y allouer des ressources avec un rendement spectaculaire.
L'État aussi a un track record. Hôpitaux qui s'effondrent, éducation qui décline, dette qui explose, services publics qui se dégradent malgré des budgets en hausse constante. Le marché identifie les bons allocateurs, la politique identifie les bons communicants.
Le profit n'est pas une finalité, c'est un signal. Il dit : tu as alloué des ressources rares vers un usage que les gens valorisent suffisamment pour payer. Plus le profit est gros, plus la création de valeur est grande. Quand Starlink est rentable, ça veut dire que des millions de gens dans des zones rurales ont enfin internet. Quand un ministère est en déficit, ça veut dire qu'il consomme plus qu'il ne produit. L'un crée, l'autre détruit, et on appelle ça redistribution.
Dans nos sociétés il y a deux catégories d'acteurs. Les entrepreneurs et les bureaucrates. L'entrepreneur prend un risque personnel pour identifier un problème, mobiliser des ressources, créer une solution. S'il se trompe il perd. S'il a raison, ses clients gagnent, ses employés gagnent, ses fournisseurs gagnent, l'État collecte des impôts. Il est la cellule de base du progrès humain.
Le bureaucrate ne prend aucun risque personnel. Son salaire est garanti. Au mieux il maintient une rente existante. Au pire il la détruit par excès de réglementation, mauvaise allocation forcée, incitations perverses qui découragent ceux qui produisent. Mais dans aucun cas il ne crée.
Regarde les 50 dernières années. iPhone, internet civil, SpaceX, Tesla, Google, Amazon, Stripe, mRNA, ChatGPT. Toutes des inventions privées, portées par des entrepreneurs, financées par du capital risque. Pas un seul ministère n'a inventé quoi que ce soit qui ait changé ta vie au quotidien.
La France est devenue le laboratoire mondial de la dérive bureaucratique. 57% du PIB en dépenses publiques, record absolu. Une administration tentaculaire, une fiscalité qui pénalise la création de richesse. Résultat : décrochage face aux États-Unis, à l'Allemagne, à la Suisse. Fuite des cerveaux. Désindustrialisation. Dette qui explose.
Et le pire c'est que la mauvaise allocation s'auto-renforce. Plus l'État prélève, moins les entrepreneurs créent. Moins ils créent, moins il y a de base fiscale. Plus l'État s'endette et taxe. Boucle de rétroaction négative parfaite. La maîtresse pense qu'elle aide, et chaque année la cour produit moins.
Dans nos sociétés, ce sont les entrepreneurs, toujours, qui font avancer la civilisation. Les bureaucrates au mieux maintiennent une rente, au pire la détruisent. Aucune société n'a jamais progressé en taxant ses créateurs pour subventionner ses gestionnaires.
La question n'est jamais qui a combien. C'est qui alloue le mieux la prochaine unité de ressource pour maximiser le futur de l'humanité. La réponse depuis 200 ans n'a jamais changé. Ce ne sont pas les fonctionnaires.
Thomas Verwer retweeted
#BadSuccessor - a textbook example of why the security ecosystem is broken
- A privilege escalation vuln in Windows Server 2025 AD (via dMSA)
- Full domain compromise with default config
- Microsoft was told, agreed it’s real, but rated it "moderate"
- No patch, No fix
- No code execution needed
- No need to touch the DC
- No RPC, no ntds.dit
- Just a write to one attribute on an account you can create
- Rubeus already supports dMSA abuse (since February)
- Metasploit module is in the works
Researchers published everything anyway. Because… "we respectfully disagree with Microsoft’s assessment". So yeah, let’s just drop an end-to-end domain takeover technique online to prove a point.
To be fair, Windows Server 2025 isn’t widely deployed yet, so the real-world blast radius today is limited. But this isn’t about today - it’s about trust, process, and what happens when security decisions are driven by vendor priorities and researcher egos.
What this tells me:
1. Microsoft either:
- Can’t assess bugs anymore
- Or stopped caring about on-prem AD completely (because Entra ID is what they want to sell)
2. And the offensive sec crowd?
- They knew this would hit hard
- But chose to burn the world anyway
- Because their urge to be right > everyone else’s security
In the end, both sides look bad.
Microsoft, for being dysfunctional or apathetic
Researchers, for chasing clout over coordinated disclosure
Congrats. In a rare show of unity, both sides managed to screw this up.
Blog: akamai.com/blog/security-res…
LinkedIn: linkedin.com/feed/update/urn…
Metasploit issue: github.com/rapid7/metasploit…
Thomas Verwer retweeted
CEO asked me “what are we doing about Russians exploiting 0days in AI”
Meanwhile our servers are on Ubuntu 14, our SRE team quit, IT is pasting bash scripts into the JAMF editor untested, and the CFO has a 2-star chrome extension to make gmail’s font comic sans
Thomas Verwer retweeted
Analyzed a phishing case in M365: attacker bypassed MFA using axios HTTP client, leaving a telltale "axios/1.7.7" in sign-in logs. Lesson: regularly check sign-in logs for unusual user-agents to spot suspicious activity.



































