AnswersPublished24 sources
PHP2Shell laat zien waarom open source structureel onderhoud nodig heeft
Bij PHP2Shell ging het om twee kwetsbaarheden waarmee aanvallers op afstand code konden uitvoeren zonder in te loggen. PHP zou op tot 70% van de websites worden gebruikt, maar de beschikbare bronnen bevestigen niet de specifieke claim dat op 23 oktober nog meer dan 33 miljoen systemen kwetsbaar waren.[11]
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- Bij PHP2Shell ging het om twee kwetsbaarheden waarmee aanvallers op afstand code konden uitvoeren zonder in te loggen.
- PHP zou op tot 70% van de websites worden gebruikt, maar de beschikbare bronnen bevestigen niet de specifieke claim dat op 23 oktober nog meer dan 33 miljoen systemen kwetsbaar waren.[11]
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
PHP2Shell was een stevige waarschuwing over de beveiliging van veelgebruikte software — en over het werk dat nodig is om die software veilig te houden. In oktober 2026 leidden twee kritieke PHP-lekken tot spoedupdates voor een programmeertaal die volgens schattingen op tot 70% van de websites wordt gebruikt.11 Tegelijk kwam een bredere vraag nadrukkelijk naar voren: hebben open-sourceprojecten genoeg capaciteit om software te controleren, te repareren en te onderhouden waar een groot deel van het web op draait?
22
Wat gebeurde er bij PHP2Shell?
De kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, konden een aanvaller zonder account toegang geven tot het op afstand uitvoeren van code op kwetsbare PHP-systemen. In berichtgeving kregen beide een ernstscore van 9,2.9
17 Het ging om fouten in de PHP-runtime; de ontdekking ervan betekent niet dat iedere PHP-applicatie onveilig was.
PHP publiceerde op 21 oktober 2026 oplossingen in versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35.18
27 In het onderzoeksverslag van Calif staat dat Calif, OpenAI en Wiz de kwetsbaarheden ontdekten.
15 Ook verliep de gecoördineerde bekendmaking volgens berichtgeving niet zoals gepland: PHP-onderhouders beschuldigden Chainguard ervan informatie te hebben gedeeld voordat het afgesproken moment was aangebroken. Daarna bracht het project de patches eerder uit.
35
37
Het grote bereik van PHP helpt verklaren waarom de situatie zo urgent was. Volgens nieuwsberichten wordt de taal op tot 70% van de websites gebruikt. Dat is een schatting van hoe vaak PHP voorkomt — geen telling van kwetsbare of gehackte sites.11 De beschikbare bronnen bevestigen ook niet de specifieke bewering dat de EFF op 23 oktober schatte dat meer dan 33 miljoen systemen nog kwetsbaar waren.
Aanvalspogingen zijn geen bewijs van geslaagde inbraken
Amazon zou op 17 oktober, vóór de openbare patchuitgave, een poging tot misbruik hebben waargenomen. Later meldde het bedrijf dat er op grote schaal pogingen waren om de lekken uit te buiten.34 Andere berichtgeving sprak van miljoenen pogingen.
6 Daarnaast zijn uit voorzorg websites tijdelijk offline gehaald terwijl organisaties de kwetsbaarheden aanpakten. Daaronder waren diensten die verband houden met het Japanse ministerie van Financiën en de haven van Rotterdam.
12
Een aanvalspoging is echter niet hetzelfde als een bevestigde inbraak. De BBC meldde op 22 oktober dat er nog geen geslaagde exploitatie was gerapporteerd. Security Affairs schreef op 23 oktober eveneens dat succesvolle exploitatie niet was bevestigd.9
31 Die berichten kunnen betrekking hebben op verschillende meetperioden of op een andere betekenis van ‘exploitatie’. De aangehaalde informatie wijst op reden tot zorg over aanvalspogingen, maar bewijst niet dat miljoenen systemen daadwerkelijk zijn binnengedrongen.
De les voor open source: een lek vinden is pas het begin
PHP2Shell laat zien hoe belangrijk het is om fouten in kernsoftware op te sporen — ook in projecten die al lang bestaan. Maar een ontdekking is slechts één stap. Onderzoekers en beheerders moeten bevindingen controleren, patches beoordelen en uitbrengen, en organisaties moeten nagaan welke systemen geraakt zijn en de updates installeren. Sovereign Tech stelde expliciet dat de gebeurtenis een financieringstekort in de beveiliging van kritieke open source blootlegt.22
Daarmee staat niet alleen het aantal ontdekte fouten centraal, maar ook de capaciteit om ermee om te gaan. Meer ontdekkingen kunnen extra werk betekenen voor onderhouders en beveiligingsteams. Maar een gemelde toename van kwetsbaarheden bewijst op zichzelf niet dat software minder veilig wordt of dat AI de oorzaak is. Een lek vinden levert nog niet automatisch de mensen op die de bevinding kunnen controleren, een bekendmaking kunnen afstemmen en een betrouwbare oplossing kunnen uitbrengen en installeren.
De voorzichtige conclusie is dus niet dat PHP per definitie onveilig is. Wel blijkt dat software die een groot deel van het web ondersteunt voortdurend beveiligingsonderzoek en onderhoud nodig heeft. Snellere opsporing maakt dat werk urgenter.11
22
Wat PHP-beheerders nu kunnen doen
Voor organisaties die PHP gebruiken, zijn dit de belangrijkste stappen:
- Breng systemen die vanaf internet bereikbaar zijn in kaart. Stel vast welke diensten PHP gebruiken en noteer de versies van de runtime die daadwerkelijk draaien.
- Installeer de juiste update. Gebruik de bijgewerkte versie voor de PHP-tak die je inzet, of volg gecontroleerde instructies van de leverancier als die de runtime beheert. PHP bracht de bijgewerkte versies uit op 21 oktober.
18
27
- Controleer de actieve omgeving. Verifieer dat processen en diensten de bijgewerkte runtime gebruiken. Gepubliceerde operationele richtlijnen adviseren om PHP-workers na een update opnieuw te starten.
32
- Wees precies over wat er bekend is. Maak onderscheid tussen kwetsbare systemen, aanvalspogingen, bevestigde inbraken en onbevestigde claims. Een voorzorgsmaatregel of verdacht netwerkverkeer bewijst niet dat een systeem is gehackt.
De blijvende les van PHP2Shell gaat over de hele beveiligingsketen: kwetsbaarheden ontdekken, bevindingen beoordelen, bekendmaking afstemmen, patches uitbrengen en updates installeren. De financiering van dat onderhoud is onderdeel van de bescherming van kritieke open-source-infrastructuur — geen extraatje.22
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell laat zien waarom open source structureel onderhoud nodig heeft"?
Bij PHP2Shell ging het om twee kwetsbaarheden waarmee aanvallers op afstand code konden uitvoeren zonder in te loggen.
What are the key points to validate first?
Bij PHP2Shell ging het om twee kwetsbaarheden waarmee aanvallers op afstand code konden uitvoeren zonder in te loggen. PHP zou op tot 70% van de websites worden gebruikt, maar de beschikbare bronnen bevestigen niet de specifieke claim dat op 23 oktober nog meer dan 33 miljoen systemen kwetsbaar waren.[11]