php2shell: Het halve internet loopt gevaar – alleen patchen van PHP helpt
Hackers kunnen door twee kritieke PHP-lekken zonder wachtwoord schadelijke code uitvoeren op webservers. Naar schatting is ongeveer 70 procent van alle websites getroffen. Exploit-code is al beschikbaar. Alleen een PHP-update helpt.
Twee kritieke beveiligingslekken in de programmeertaal PHP brengen momenteel miljoenen webservers in gevaar. Aanvallers kunnen hiermee zonder wachtwoord schadelijke code uitvoeren – een anonieme post op het platform Hacker News had op 20 oktober de kwetsbaarheden en de eerste exploit-code al voortijdig onthuld. De patches werden op 21 oktober om 16:00 uur CEST gepubliceerd. Vanwege de explosieve situatie hebben onder andere Nederland en de ontwikkelaars van GrapheneOS hun systemen uit voorzorg tijdelijk offline gehaald. Een teken van hoe ernstig de situatie is.
Wat er precies is gebeurd
Het PHP-beveiligingsteam heeft patches uitgebracht voor twee kritieke lekken waarmee aanvallers willekeurige code op een server kunnen uitvoeren. Ze dragen de CVE-nummers CVE-2026-109618 en CVE-2026-109619 en worden, in navolging van het beruchte Log4Shell-lek uit 2021, ook wel "php2shell" genoemd. Beide kregen een CVSS-score van 9,2 op 10 – de hoogste categorie voor kritieke kwetsbaarheden.
Het eerste lek (CVE-2026-109618) betreft het geheugenbeheer. Wanneer een PHP-script zijn geheugenlimiet bereikt, wordt de uitvoering afgebroken en het geheugen opgeschoond. Als een aanvaller dit opschoonproces verstoort met geprepareerde verzoeken, kan hij het geheugen zo manipuleren dat PHP eigen schadelijke code uitvoert. Het tweede lek (CVE-2026-109619) maakt gebruik van een verouderde status in de foutafhandeling: gegevens van een vorig verzoek blijven in het geheugen hangen en worden bij het volgende verzoek onterecht als actueel behandeld. Ook dit maakt het injecteren van schadelijke code mogelijk.
Waarom dit zoveel mensen treft
PHP is het fundament waarop een groot deel van het web is gebouwd. Ongeveer 70 procent van alle websites waarvan de server-side programmeertaal bekend is, gebruikt PHP. Contentmanagementsystemen zoals WordPress, Drupal, Joomla en Magento zijn hierop gebaseerd. Een update van deze systemen is echter niet voldoende om veilig te zijn. De fout zit dieper, in de PHP-runtimeomgeving zelf.
De kwetsbaarheden betreffen niet alleen actuele PHP-versies. Ze lopen door de code heen tot aan PHP 5.4, dat in 2012 werd uitgebracht. Veel webservers draaien nog op oudere, niet meer ondersteunde PHP-versies zonder reguliere beveiligingsupdates.
Wat je nu moet doen
De enige volledige oplossing is de update naar een van de nieuw uitgebrachte PHP-versies: PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Deze patches moeten handmatig op de server worden geïnstalleerd – automatische updates werken hier niet. Voor oudere, niet meer ondersteunde versies (PHP 7.4, 8.0, 8.1) heeft het PHP-team minimale source-backports beschikbaar gesteld.
Ben je niet zelf verantwoordelijk voor de server, vraag dan aan je hoster of de beveiligingsupdates al zijn geïnstalleerd. Voor systemen die niet direct kunnen worden bijgewerkt, adviseren autoriteiten om ze offline te halen. Cloudflare heeft al firewallregels uitgerold die bekende aanvalspatronen blokkeren. Dergelijke beschermingsmaatregelen kunnen het risico verkleinen, maar vervangen geen beveiligingsupdate.
Hoe erg is het echt?
De waarschuwingen komen van het hoogste niveau. Zo heeft het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) een officiële waarschuwing uitgegeven. Ook het CERT-EU, het Britse NCSC en de Australische cyberautoriteit hebben noodmeldingen gepubliceerd.
Hoeveel servers er al succesvol zijn aangevallen, is momenteel onduidelijk. Per 21 oktober 2026, 18:00 uur CEST, zijn er geen betrouwbare cijfers over bevestigde compromitteringen. Cloudflare rapporteert al aanvalspogingen en heeft zijn beschermingsregels aangescherpt. Andere beveiligingsonderzoekers hebben in hun bewaakte netwerken daarentegen nog geen misbruik vastgesteld. Het risico is reëel en neemt met elk uur dat servers ongepatcht blijven toe.
De dagelijkse kus van de muze stimuleert mijn creativiteit. Als ze me vergeet, probeer ik mijn creativiteit terug te winnen door te dromen, zodat het leven mijn dromen niet verslindt.
Van de nieuwe iPhone tot de wederopstanding van de mode uit de jaren 80. De redactie categoriseert.
Alles tonen
