AnswersPublished25 sources
PHP2Shell zette teams wereldwijd aan tot spoedpatches
De kwetsbaarheden CVE 2026 109618 en CVE 2026 109619 konden aanvallers zonder inloggegevens code laten uitvoeren op kwetsbare PHP servers. Calif ontdekte problemen met hulp van GPT 5.6 Sol; Wiz vond de kwetsbaarheden onafhankelijk en gebruikte onder meer Wiz Atlas en Gemini 4 Argon.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- De kwetsbaarheden CVE 2026 109618 en CVE 2026 109619 konden aanvallers zonder inloggegevens code laten uitvoeren op kwetsbare PHP servers.
- Calif ontdekte problemen met hulp van GPT 5.6 Sol; Wiz vond de kwetsbaarheden onafhankelijk en gebruikte onder meer Wiz Atlas en Gemini 4 Argon.
- Na een voortijdige bekendmaking op 20 oktober bracht PHP de noodupdates op 21 oktober uit, een dag eerder dan gepland.
- Er is melding gemaakt van aanvalspogingen vóór de bekendmaking, maar blootstelling of pogingen zijn niet hetzelfde als een bevestigde inbraak.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP bracht op 21 oktober 2026 noodupdates uit voor twee kritieke kwetsbaarheden in PHP, nadat informatie over de problemen een dag eerder voortijdig openbaar was geworden. De lekken, samen bekend als PHP2Shell, konden aanvallers mogelijk code laten uitvoeren op een server zonder eerst in te loggen. 5
18
De haast was begrijpelijk: PHP zit in veel webdiensten. Maar de beschikbare informatie maakt ook een belangrijk onderscheid duidelijk: een kwetsbare server of waargenomen aanvalspoging betekent niet automatisch dat een aanvaller is binnengedrongen.
Hoe de lekken werden gevonden
In augustus ontdekte beveiligingsbedrijf Calif de problemen in het kader van OpenAI’s onderzoeksinitiatief Patch the Planet. Daarbij werd GPT-5.6 Sol gebruikt. Wiz vond de kwetsbaarheden onafhankelijk; volgens een verslag over de samenwerking gebruikte Wiz onder meer Wiz Atlas, Gemini 4 Argon en GPT-5.6 Sol bij onderzoek en validatie. 6
21
De twee fouten zitten in PHP zelf, niet in één specifieke plug-in of websitebouwer. CVE-2026-109618 hangt samen met geheugenbeschadiging wanneer PHP onvoldoende geheugen heeft. CVE-2026-109619 betreft verouderde globale status. Beide kunnen onder bepaalde omstandigheden leiden tot uitvoering van code op afstand. 7
15
De kwetsbaarheden kregen allebei een score van 9,2 op 10 op de CVSS v4.0-schaal, die de ernst van beveiligingslekken inschat. De mogelijke aanval vereist geen account op de getroffen server. 9
10
Voortijdige bekendmaking leidde tot snellere patches
De bekendmaking stond gepland voor 22 oktober, maar details verschenen al op 20 oktober. PHP publiceerde de fixes daarom op 21 oktober, eerder dan voorzien. 2
18
24
De bijgewerkte versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. PHP adviseerde beheerders om zo snel mogelijk bij te werken, met name op systemen die webverzoeken verwerken. 15
De genoemde versies zijn de officiële fixes voor PHP 8.2 tot en met 8.5. PHP 8.1 en oudere versies ontvangen geen reguliere beveiligingsupdates meer van het PHP-project. Sommige Linux-distributies of aanbieders van langdurige ondersteuning kunnen wel eigen, teruggeporteerde fixes aanbieden; controleer daarvoor de informatie van de leverancier.
Grote mogelijke blootstelling, maar geen bewijs van miljoenen inbraken
PHP zou naar schatting ongeveer 70 procent van het web ondersteunen. Palo Alto Networks meldde daarnaast dat het meer dan 22,6 miljoen internetzichtbare instanties had geïdentificeerd die mogelijk kwetsbaar waren. Dat is een schatting van mogelijke blootstelling, niet van het aantal daadwerkelijk gehackte servers. 23
De Amerikaanse NSA adviseerde organisaties om in kaart te brengen welke diensten afhankelijk zijn van PHP en de patches prioriteit te geven. CISA riep organisaties eveneens op onmiddellijk bij te werken. Ook grote technologiebedrijven, waaronder Google, AWS en Microsoft, deelden richtlijnen met hun klanten. 3
17
18
Sommige websites gingen tijdelijk offline terwijl beheerders updates uitvoerden. Dat laat zien hoeveel operationeel werk een noodpatch kan opleveren, maar de beschikbare berichtgeving onderbouwt geen volledig beeld van de duur of gevolgen van die onderbrekingen.
Wat is bekend over aanvalspogingen?
Amazon meldde dat zijn MadPot-honeypot — een systeem dat verdachte activiteit registreert — op 17 oktober een PHP2Shell-gerelateerde aanvalspoging waarnam, vier dagen vóór de openbare bekendmaking. Er zijn ook pogingen gemeld op 21 oktober en na de bekendmaking. Een waargenomen poging bewijst op zichzelf niet dat die succesvol was. 1
4
De inschattingen over grootschalig misbruik waren niet eenduidig. Sansec meldde op 22 oktober dat massaal misbruik minder waarschijnlijk leek dan het bedrijf op de dag van de release had verwacht. De bronnen onderbouwen daarom geen conclusie dat PHP2Shell tot grootschalige, succesvolle inbraken heeft geleid. 10
Op 23 oktober volgde nog een waarschuwing
PHP waarschuwde op 23 oktober voor een afzonderlijke, als onwaarschijnlijk omschreven route naar uitvoering van code op afstand: CVE-2026-115560. Die vereist een ongebruikelijke combinatie van sessie-instellingen en applicatiegedrag. PHP adviseerde als tijdelijke maatregel session.upload_progress.enabled=0 totdat een reguliere bugfixrelease beschikbaar is. Applicaties die tijdens runtime de serialisatie-handler niet aanpassen, kunnen volgens PHP de functie ingeschakeld laten.
De kern van de PHP2Shell-crisis is dus vooral de combinatie van een ernstig risico, veel mogelijk blootgestelde systemen en een onverwachte versnelling van de patchplanning. De praktische boodschap voor beheerders: inventariseer waar PHP draait, controleer de juiste update bij de leverancier en werk bij. Ga er niet zonder bewijs van uit dat elke kwetsbare installatie al is gecompromitteerd. 17
18
In dezelfde periode waren er ook andere beveiligingsincidenten, waaronder een demonstratie van een Node.js-lek en berichtgeving over LiteLLM en eMudhra. Dat zijn afzonderlijke kwesties; de beschikbare bronnen leggen geen oorzakelijk verband met PHP2Shell.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell zette teams wereldwijd aan tot spoedpatches"?
De kwetsbaarheden CVE 2026 109618 en CVE 2026 109619 konden aanvallers zonder inloggegevens code laten uitvoeren op kwetsbare PHP servers.
What are the key points to validate first?
De kwetsbaarheden CVE 2026 109618 en CVE 2026 109619 konden aanvallers zonder inloggegevens code laten uitvoeren op kwetsbare PHP servers. Calif ontdekte problemen met hulp van GPT 5.6 Sol; Wiz vond de kwetsbaarheden onafhankelijk en gebruikte onder meer Wiz Atlas en Gemini 4 Argon.
What should I do next in practice?
Na een voortijdige bekendmaking op 20 oktober bracht PHP de noodupdates op 21 oktober uit, een dag eerder dan gepland.