AnswersPublished23 sources
PHP2Shell uitgelegd: kwetsbaarheden met een score van 9,2 en de oplossingen
PHP2Shell omvat twee kritieke kwetsbaarheden in PHP. Beide hebben CVSS v4.0 score 9,2 en kunnen uitvoering van code op afstand mogelijk maken zonder dat een aanvaller hoeft in te loggen.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- PHP2Shell omvat twee kritieke kwetsbaarheden in PHP. Beide hebben CVSS v4.0 score 9,2 en kunnen uitvoering van code op afstand mogelijk maken zonder dat een aanvaller hoeft in te loggen.
- De fouten betreffen geheugenafhandeling en verouderde interne gegevens. Ze zijn gemeld in PHP 5.4 en hoger; voor oudere of niet meer ondersteunde versies moeten beheerders advies bij hun leverancier inwinnen.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell is de verzamelnaam voor twee kritieke kwetsbaarheden in de PHP-kern: CVE-2026-109618 en CVE-2026-109619. Beide kregen onder CVSS v4.0 de score 9,2 — Kritiek. Een aanvaller kan er mogelijk code mee uitvoeren op een kwetsbare server, zonder eerst in te loggen. Het PHP-project bracht op 21 oktober 2026 noodupdates uit. 
De belangrijkste stap voor beheerders is daarom PHP bijwerken. Er zijn aanvalspogingen gemeld, waaronder een waarneming in Amazons honeypot vóór de openbare bekendmaking. Dat is reden om snel te handelen, maar geen bewijs dat een aanvaller een productiesysteem heeft binnengedrongen. 36
Wat doen de twee PHP2Shell-kwetsbaarheden?
De kwetsbaarheden hebben volgens de meldingen verschillende oorzaken:
- CVE-2026-109618 betreft de afhandeling van een geheugentekort. Als PHP onvoldoende geheugen heeft, kan de verwerking worden onderbroken terwijl interne gegevens van een verzoek nog maar gedeeltelijk zijn klaargezet. Bij het opruimen kan PHP die ongeldige gegevens vervolgens als geldig behandelen.
58
- CVE-2026-109619 betreft verouderde interne gegevens. Volgens de beschrijvingen kan informatie over een verzoek achterblijven nadat het geheugen waarin die informatie stond, is vrijgegeven. Daardoor kan een zogeheten use-after-free-probleem ontstaan.
9
De fouten hebben te maken met de manier waarop PHP speciaal samengestelde HTTP-verzoeken verwerkt, waaronder multipart-formuliergegevens. Dat is een veelgebruikt formaat voor bestandsuploads. 1
Waarom is de score 9,2 — en wat zegt die score niet?
Beide kwetsbaarheden zijn onder CVSS v4.0 beoordeeld met 9,2 op 10, oftewel Kritiek. Het risico op uitvoering van code op afstand zonder authenticatie weegt zwaar: een aanvaller hoeft niet eerst in te loggen om een poging te doen op een kwetsbare server.
De beschikbare bronnen bevatten niet de volledige CVSS-vectors. Daardoor is niet precies uit te leggen hoe de afzonderlijke invoerwaarden tot de score 9,2 leiden. De score geeft de ernst van de kwetsbaarheden aan, maar zegt niet hoe waarschijnlijk een aanval op een specifieke server is of dat een waargenomen poging ook is geslaagd.
Welke PHP-versies zijn kwetsbaar en welke updates zijn beschikbaar?
Volgens meldingen begint het kwetsbare versiebereik bij PHP 5.4. 55 Voor de PHP 8.x-reeksen zijn de volgende noodupdates uitgebracht:
| PHP-reeks | Opgeloste versie |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Deze versies zijn op 21 oktober 2026 uitgebracht. Werk bij naar de opgeloste versie voor de PHP-reeks die je gebruikt, of naar een latere versie binnen die reeks.
De genoemde oplossingen gelden voor de reeksen 8.2 tot en met 8.5. Draait een systeem op een oudere of niet meer ondersteunde PHP-reeks? Vraag dan de PHP-distributeur of leverancier van het besturingssysteem naar passende updates en instructies. Ga er niet zonder meer van uit dat een van de hierboven genoemde versies rechtstreeks toepasbaar is.
Openbaarmaking en aanvalspogingen: geen bewijs van een geslaagde inbraak
De kwetsbaarheden werden op 20 oktober openbaar, vóór de geplande bekendmaking op 22 oktober. PHP bracht de noodupdates een dag later uit, op 21 oktober. 8
42 De bronnen onderbouwen de voortijdige bekendmaking en de eerdere patchrelease, maar tonen niet aan dat een per ongeluk gepubliceerde demonstratievideo van Calif de aanleiding was.
Amazon Threat Intelligence meldde dat het in de MadPot-honeypottelemetrie een PHP2Shell-aanvalspoging van 17 oktober had gevonden — vier dagen vóór de openbare bekendmaking. Amazon meldde ook dat het rond de release op 21 oktober proof-of-concept-exploits had aangetroffen. Honeypottelemetrie laat activiteit tegen een loksysteem zien; het bewijst geen inbraak bij een echte organisatie.
Cloudflare meldde rond de bekendmaking beschermingsmaatregelen te hebben ingevoerd. Ook beschreven andere meldingen aanvalspogingen of -verkeer dat beveiligingsbedrijven hadden waargenomen. 55
35 Berichten over de omvang en het succes van misbruik liepen uiteen: sommige leveranciers spraken over actief of grootschalig misbruik, terwijl andere berichtgeving op dat moment meldde dat overheidsinstanties geen geslaagde aanvallen hadden bevestigd.
33
36
De beschikbare informatie is voldoende reden om pogingen serieus te nemen, maar niet om elke gemelde poging als een geslaagde inbraak te beschouwen of te concluderen dat aanvallen op grote schaal succesvol waren. Houd bij het beoordelen van risico’s en incidentmeldingen onderscheid tussen een poging, een werkende exploit en een bevestigde inbraak op een productiesysteem.
Wat kun je doen terwijl je de update installeert?
De belangrijkste oplossing is de vaste PHP-versie installeren. Volgens AWS is upgraden de enige volledige oplossing. Als bijwerken niet meteen kan, kunnen tijdelijke maatregelen de blootstelling verkleinen, bijvoorbeeld door multipart-bestandsuploads te blokkeren. Zulke maatregelen vervangen de update niet.
Het Canadese Cyber Centre gaf een kritieke waarschuwing uit over de kwetsbaarheden en het risico op code-uitvoering zonder authenticatie. 2 De beschikbare bronnen melden ook dat de NSA adviseerde systemen offline te halen als ze niet meteen konden worden bijgewerkt.
27 Volg de toepasselijke adviezen van je leverancier en overheid, zeker als PHP deel uitmaakt van een product of door een hostingprovider wordt beheerd.
De praktische conclusie is helder: breng in kaart waar PHP draait, installeer de juiste update en beoordeel waarschuwingen zorgvuldig. De ernst van PHP2Shell vraagt om snelheid — maar een aanvalspoging, een werkende exploit en een bevestigde inbraak zijn niet hetzelfde.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell uitgelegd: kwetsbaarheden met een score van 9,2 en de oplossingen"?
PHP2Shell omvat twee kritieke kwetsbaarheden in PHP. Beide hebben CVSS v4.0 score 9,2 en kunnen uitvoering van code op afstand mogelijk maken zonder dat een aanvaller hoeft in te loggen.
What are the key points to validate first?
PHP2Shell omvat twee kritieke kwetsbaarheden in PHP. Beide hebben CVSS v4.0 score 9,2 en kunnen uitvoering van code op afstand mogelijk maken zonder dat een aanvaller hoeft in te loggen. De fouten betreffen geheugenafhandeling en verouderde interne gegevens. Ze zijn gemeld in PHP 5.4 en hoger; voor oudere of niet meer ondersteunde versies moeten beheerders advies bij hun leverancier inwinnen.