AnswersPublished19 sources
PHP2Shell uitgelegd: twee ernstige lekken, een wereldwijde patchrace
PHP2Shell is de naam voor twee ernstige kwetsbaarheden waardoor een aanvaller op afstand code kon uitvoeren op een kwetsbaar systeem, zonder eerst in te loggen. PHP wordt naar verluidt gebruikt door ongeveer 70% van de websites.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- PHP2Shell is de naam voor twee ernstige kwetsbaarheden waardoor een aanvaller op afstand code kon uitvoeren op een kwetsbaar systeem, zonder eerst in te loggen.
- PHP wordt naar verluidt gebruikt door ongeveer 70% van de websites. Dat cijfer zegt iets over het mogelijke bereik, niet hoeveel sites kwetsbaar of gehackt waren.
- ‘Black October’ is een benaming voor een reeks beveiligingsincidenten en onthullingen, geen bewijs van één gecoördineerde wereldwijde cyberaanval.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the AI-discovered PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619) trigger the October 2026 global cybersecurity cris. Article summary: PHP2Shell prompted a global emergency because potentially severe server-side flaws affected a widely used web technology, and their disclosure forced operators to patch or interrupt services quickly. The evidence support. Topic tags: general, general web, user generated, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts w
PHP2Shell — de verzamelnaam voor twee ernstige kwetsbaarheden in PHP, CVE-2026-109618 en CVE-2026-109619 — veranderde een beveiligingsmelding in oktober 2026 in een internationale patchrace. Omdat PHP naar verluidt achter ongeveer 70% van de websites zit, was de mogelijke reikwijdte groot. Dat betekent niet dat 70% van de websites kwetsbaar was. Ook meldingen van aanvalspogingen laten niet zien hoeveel systemen daadwerkelijk zijn binnengedrongen. 49
22
Wat konden de PHP-lekken mogelijk maken?
De kwetsbaarheden zaten in PHP zelf, niet in één specifieke website of een bepaald contentmanagementsysteem. Volgens de Cyber Security Agency of Singapore ging het om een probleem bij het afhandelen van een out-of-memory-situatie en een zogenoemde use-after-free-fout. Beide konden een aanvaller op afstand code laten uitvoeren op een kwetsbaar systeem, zonder dat die zich eerst hoefde aan te melden. 4
In gewone taal: een aanvaller kon mogelijk een kwetsbare server opdrachten laten uitvoeren zonder in te loggen. De ernst van de kwetsbaarheden werd beoordeeld op 9,2 van de 10. 49
Dat PHP naar schatting op ongeveer 70% van de websites wordt gebruikt, verklaart waarom de waarschuwing zo urgent was. Maar dat percentage is geen telling van kwetsbare websites. Hoe groot het werkelijke risico was, hing af van de systemen en PHP-versies die organisaties gebruikten. 49
14
AI hielp bij het onderzoek; PHP bracht spoedupdates uit
Volgens berichtgeving ontdekte beveiligingsbedrijf Calif in augustus een kwetsbaarheid tijdens een broncode-audit die werd gefinancierd via OpenAI’s initiatief Patch the Planet. Calif gebruikte daarbij GPT-5.6 Sol. Wiz Research beschreef op zijn beurt onderzoek met Wiz Atlas, Gemini 4 Argon en GPT-5.6 Sol. Dat ondersteunt de omschrijving ‘AI-ondersteund onderzoek’, maar bewijst niet dat AI de kwetsbaarheden zelfstandig ontdekte en valideerde. 19
25
Het PHP-project bracht op 21 oktober beveiligingsupdates uit. SecurityWeek meldde dat de CVE-nummers een dag eerder al circuleerden en dat de updates één dag vóór de geplande bekendmaking verschenen. 62 De genoemde versies met de oplossing zijn PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12.
62
Waarom haalden organisaties websites offline?
Sommige organisaties legden diensten tijdelijk stil terwijl ze hun systemen onderzochten of bijwerkten. De BBC meldde verstoringen bij onder meer overheidsportalen, gameplatforms en onlinefora. Volgens die berichtgeving haalden de Finse overheid, Edinburgh Council, enkele BBC-pagina’s en de Nederlandse cyberbeveiligingsdienst hun websites of pagina’s offline. 49
Dat diensten offline gingen, toont de operationele gevolgen van de reactie; op zichzelf bewijst het niet dat die websites waren gehackt. De BBC meldde ook dat de Amerikaanse National Security Agency organisaties adviseerde PHP-systemen offline te halen als ze niet meteen konden patchen. 49
Aanvalspogingen zijn geen bevestigde hacks
Cloudflare-topman Matthew Prince meldde dat het bedrijf in de tien uur vóór de openbare bekendmaking duizenden pogingen op zijn netwerk zag. Binnen twee uur na de bekendmaking liep dat op tot honderdduizenden; later waren het er miljoenen, volgens Nextgov. 22 Dit zijn meldingen van pogingen tot misbruik, geen bevestigd aantal succesvolle inbraken.
De beschikbare berichtgeving geeft geen betrouwbaar totaal van bevestigde hacks. Schattingen van mogelijke blootstelling, geautomatiseerde verzoeken, honeypotmeldingen en daadwerkelijk vastgestelde inbraken meten verschillende dingen. Die aantallen kun je niet zonder meer bij elkaar optellen tot één cijfer voor succesvolle aanvallen.
Wat betekent ‘Black October’ wel — en niet?
‘Black October’ werd een benaming voor een bredere reeks beveiligingsmeldingen en incidenten in oktober 2026. PHP2Shell kreeg daarin veel aandacht, maar uit de berichtgeving blijkt niet dat alle incidenten onderdeel waren van één gecoördineerde wereldwijde aanval. 1
11
14
Wat de bronnen wel ondersteunen: er was een ernstig beveiligingsprobleem in PHP, organisaties moesten snel patchen en sommige diensten werden uit voorzorg tijdelijk stilgelegd. Ze ondersteunen niet de conclusie dat 70% van websites aantoonbaar kwetsbaar was, of dat het aantal aanvalspogingen gelijkstaat aan massale inbraken.
Voor beheerders is de praktische les: controleer de PHP-runtime zelf en installeer de bijgewerkte versie die past bij de gebruikte versie. De genoemde oplossingen lopen van PHP 8.2 tot en met 8.5. Alleen een website- of CMS-update uitvoeren betekent niet automatisch dat ook de onderliggende PHP-runtime is bijgewerkt. 14
62
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell uitgelegd: twee ernstige lekken, een wereldwijde patchrace"?
PHP2Shell is de naam voor twee ernstige kwetsbaarheden waardoor een aanvaller op afstand code kon uitvoeren op een kwetsbaar systeem, zonder eerst in te loggen.
What are the key points to validate first?
PHP2Shell is de naam voor twee ernstige kwetsbaarheden waardoor een aanvaller op afstand code kon uitvoeren op een kwetsbaar systeem, zonder eerst in te loggen. PHP wordt naar verluidt gebruikt door ongeveer 70% van de websites. Dat cijfer zegt iets over het mogelijke bereik, niet hoeveel sites kwetsbaar of gehackt waren.
What should I do next in practice?
‘Black October’ is een benaming voor een reeks beveiligingsincidenten en onthullingen, geen bewijs van één gecoördineerde wereldwijde cyberaanval.