AnswersPublished33 sources
PHP2Shell: dit moet je weten over de kritieke PHP-lekken
PHP2Shell is de naam voor twee ernstige geheugenfouten in PHP die onder bepaalde omstandigheden uitvoering van code op afstand mogelijk maken, zonder dat een aanvaller hoeft in te loggen. Werk de PHP runtime bij die webverzoeken afhandelt, of installeer de fix van de productleverancier.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- PHP2Shell is de naam voor twee ernstige geheugenfouten in PHP die onder bepaalde omstandigheden uitvoering van code op afstand mogelijk maken, zonder dat een aanvaller hoeft in te loggen.
- Werk de PHP runtime bij die webverzoeken afhandelt, of installeer de fix van de productleverancier.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, how do they enable unauthenticated remote code execution in PHP—. Article summary: PHP2Shell is the name given to two critical PHP memory-safety vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution under suitable conditions; researchers rated them . Topic tags: general, general web, government, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
PHP2Shell is de verzamelnaam voor twee kritieke kwetsbaarheden in de PHP-runtime: CVE-2026-109618 en CVE-2026-109619. Onder bepaalde omstandigheden kunnen ze een aanvaller zonder account code laten uitvoeren op een server. PHP bracht op 21 oktober 2026 beveiligingsupdates uit voor versie 8.2.35, 8.3.36, 8.4.27 en 8.5.12.5
36 De belangrijkste stap voor beheerders is de PHP-runtime bij te werken die webverzoeken verwerkt — of de oplossing van de betreffende productleverancier te installeren — en vervolgens te controleren of de update actief is.
Wat doen de twee kwetsbaarheden?
Beide problemen zitten in het geheugenbeheer van PHP zelf, niet in de code van één specifieke website. Onderzoekers beschrijven aanvalspaden waarbij tijdens bewerkingen van de PHP-runtime verouderd of al vrijgegeven geheugen kan worden aangesproken.6
9
- CVE-2026-109618 heeft te maken met een use-after-free rond de verwerking van uploadvoortgang. Wiz meldt dat dit geheugen van een PHP-worker kan blootleggen en, onder aangetoonde omstandigheden, kan bijdragen aan geheugencorruptie en het uitvoeren van code.
6
- CVE-2026-109619 betreft geheugenbeheer bij backtraces na fatale fouten en OPcache. Volgens het PHP-beveiligingsadvies kan verouderde interne status later opnieuw worden gebruikt door een verzoek dat door dezelfde worker wordt afgehandeld.
36
In berichtgeving krijgen de kwetsbaarheden een score van 9,2 op de CVSS-schaal.2
37 Wiz schat dat PHP wordt gebruikt door ongeveer 70% van het internet. Dat is een inschatting van het bereik van PHP, geen bewijs dat 70% van de websites op dezelfde manier kwetsbaar is of is gehackt.
6
Welke PHP-versies zijn kwetsbaar en welke updates zijn er?
Volgens berichtgeving loopt het kwetsbare bereik van PHP 5.4 tot en met 8.5.11.56 PHP heeft fixes uitgebracht in 8.2.35, 8.3.36, 8.4.27 en 8.5.12.
36 Gebruik je een oudere of niet meer ondersteunde versie, vraag dan je PHP-distributeur of productleverancier naar een ondersteunde update of een teruggeporteerde fix. Ga er niet automatisch van uit dat je rechtstreeks naar een nieuwe standaardversie kunt upgraden.
17
54
Alleen het PHP-pakket op een server bijwerken is mogelijk niet genoeg. Een website, apparaat of ander product kan een eigen ingebouwde PHP-runtime gebruiken. Controleer daarom welke installatie de webverzoeken daadwerkelijk afhandelt en volg voor producten met meegeleverde PHP de instructies van de leverancier.5
54
AI hielp bij de ontdekking, maar de tijdlijn verschilt per bron
Het onderzoek wordt toegeschreven aan Calif, OpenAI en Wiz; verslagen van de ontdekking noemen hulp van AI-modellen.4
16 Over het begin van het onderzoek lopen de berichten uiteen. USA Today beschrijft een eerste ontdekking door Calif in juli en een onafhankelijke ontdekking door Wiz in augustus. The Register plaatst het werk van de onderzoekers tussen augustus en september.
4
47 Andere berichtgeving noemt ook modellen van Google, maar uit het beschikbare materiaal blijkt niet precies welke bijdrage elk model leverde of hoeveel van het werk zelfstandig door AI is gedaan.
50
Dat onderscheid is belangrijk: de bronnen ondersteunen de conclusie dat AI het onderzoek heeft geholpen, niet dat een AI-systeem beide kwetsbaarheden zelfstandig ontdekte, controleerde én oploste. Volgens de berichtgeving waren menselijke onderzoekers en beheerders betrokken bij de ontdekking en de reactie erop.4
16
Wat betekent de melding over PAN-OS?
Palo Alto Networks publiceerde een advies over de gevolgen van beide PHP-kwetsbaarheden voor zijn producten. PAN-OS wordt genoemd als een van de productfamilies.34
35 Dat betekent op zichzelf niet dat elke PAN-OS-installatie hetzelfde aanvalspad heeft als een PHP-webserver. De productconfiguratie en de fix van de leverancier zijn bepalend.
Beheerders doen er goed aan het actuele advies van Palo Alto Networks te controleren voor hun specifieke product en softwareversie, en de update-instructies van de leverancier te volgen. Vertrouw niet op externe overzichten van geplande hotfixes als bewijs dat een fix al beschikbaar is: een tracker die rondgaat, vermeldt uitdrukkelijk dat de leveranciersstatus met AI is gegenereerd en moet worden gecontroleerd.21
Exploitpogingen zijn niet hetzelfde als bevestigde hacks
Volgens informatie van een dreigingsonderzoeker werd op 17 oktober een exploitpoging geregistreerd, vóór de openbare technische toelichting en de PHP-fixes van 21 oktober.53 Nextgov meldde dat het aantal pogingen via Cloudflare opliep van duizenden naar miljoenen.
22 Het gaat om pogingen, niet om het aantal servers dat met succes is overgenomen.
De berichten over succesvolle aanvallen zijn niet eenduidig. De BBC meldde op 22 oktober dat er op dat moment geen succesvolle exploits waren gerapporteerd.18 Unit 42 van Palo Alto Networks zei later niet te kunnen bevestigen dat activiteiten die het aanvankelijk met PHP2Shell in verband bracht, door deze specifieke CVE’s waren veroorzaakt. Het trok een eerdere update in.
30 Op basis van de hier beschikbare informatie zijn exploitpogingen gemeld, maar is onduidelijk of succesvolle inbraken aan PHP2Shell zijn toe te schrijven.
Overheden en bedrijven hebben volgens berichtgeving sommige online diensten tijdelijk offline gehaald terwijl ze fixes voorbereidden of installeerden.26
51 Zo’n voorzorgsmaatregel is geen bewijs dat de betrokken organisatie is gehackt.
Wat kunnen organisaties en website-eigenaren doen?
- Breng alle PHP-installaties in kaart. Denk aan websites, applicatieservers, containers, hostingomgevingen en apparaten. Vraag hosting- of beheerdienstverleners te bevestigen welke runtime actief is en welke fix van toepassing is.
- Installeer een gecontroleerde update. Gebruik een gerepareerde PHP-versie of een pakket van de leverancier waarin de correcties zijn opgenomen. Volg bij apparaten en andere producten met ingebouwde PHP de instructies van de productleverancier.
17
54
- Controleer de actieve dienst. Kijk na of de PHP-runtime die webverkeer verwerkt — en niet alleen een aparte commandoregelinstallatie — is bijgewerkt. Controleer ook of de benodigde workers of diensten de gecorrigeerde versie gebruiken.
- Beperk de blootstelling als je niet snel kunt patchen. De NSA adviseert prioriteit te geven aan patches van leveranciers. Is een directe update niet haalbaar, dan adviseert de NSA het systeem offline te halen.
25
- Houd patchen en onderzoek naar een mogelijke inbraak uit elkaar. Een update verhelpt de kwetsbaarheid, maar vertelt niet of er eerder is ingebroken. Bekijk relevante logs en systeemactiviteit als daar aanleiding toe is.
Beheer je zelf geen server maar wel een website? Neem dan contact op met je hostingprovider of beheerder en vraag of de PHP-runtime is bijgewerkt. Installeer geen fixes uit ongevraagde berichten; gebruik de officiële instructies van je provider.
De kern is: een systeem kan kwetsbaar zijn, een aanvaller kan een poging doen en een systeem kan daadwerkelijk zijn gehackt. Dat zijn verschillende beweringen. Werk de kwetsbare runtime bij, controleer met de leverancier wat de melding voor producten zoals PAN-OS betekent en onderzoek vermoedens van een inbraak afzonderlijk.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: dit moet je weten over de kritieke PHP-lekken"?
PHP2Shell is de naam voor twee ernstige geheugenfouten in PHP die onder bepaalde omstandigheden uitvoering van code op afstand mogelijk maken, zonder dat een aanvaller hoeft in te loggen.
What are the key points to validate first?
PHP2Shell is de naam voor twee ernstige geheugenfouten in PHP die onder bepaalde omstandigheden uitvoering van code op afstand mogelijk maken, zonder dat een aanvaller hoeft in te loggen. Werk de PHP runtime bij die webverzoeken afhandelt, of installeer de fix van de productleverancier.