AnswersPublished22 sources
PHP2Shell uitgelegd: welke PHP-versies zijn gepatcht en wat is bekend over misbruik?
PHP2Shell is de verzamelnaam voor CVE 2026 109618 en CVE 2026 109619. Beide lekken kregen een CVSS v4.0 score van 9,2 en kunnen uitvoering van code op afstand mogelijk maken zonder dat een aanvaller eerst inlogt.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- PHP2Shell is de verzamelnaam voor CVE 2026 109618 en CVE 2026 109619. Beide lekken kregen een CVSS v4.0 score van 9,2 en kunnen uitvoering van code op afstand mogelijk maken zonder dat een aanvaller eerst inlogt.
- PHP bracht op 21 oktober 2026 updates uit voor PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, nadat de CVE nummers eerder dan gepland openbaar waren geworden.
- Er zijn exploitpogingen gemeld, maar die meldingen bewijzen niet dat alle pogingen slaagden of dat de betreffende servers zijn gehackt.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell is de naam voor twee kritieke kwetsbaarheden in PHP: CVE-2026-109618 en CVE-2026-109619. Beide kregen een score van 9,2 op de CVSS v4.0-schaal en kunnen een aanvaller zonder account code laten uitvoeren op een kwetsbare server. PHP bracht op 21 oktober 2026 beveiligingsupdates uit, nadat informatie over de lekken vóór de geplande bekendmaking naar buiten was gekomen. Er kwamen al snel meldingen van exploitpogingen, maar een poging is geen bewijs van een geslaagde hack. 1
3
14
Wat doen de twee PHP2Shell-lekken?
De problemen zitten in de manier waarop PHP webverzoeken verwerkt en het geheugen beheert; ze zijn niet beperkt tot een bepaalde website of een specifiek framework. CVE-2026-109618 betreft een fout in de afhandeling van een tekort aan geheugen. CVE-2026-109619 heeft te maken met verouderde interne status. Volgens de meldingen kunnen de kwetsbaarheden leiden tot uitvoering van code op afstand zonder dat de aanvaller zich hoeft te authenticeren. 1
14
Daarom is de versie van PHP zelf van belang, ook als er geen bekende kwetsbaarheid in de applicatiecode van een website zit. De operationele richtlijnen noemen alle PHP-installaties die webverzoeken verwerken als systemen die aandacht nodig hebben. 55
Welke PHP-versies zijn bijgewerkt?
PHP publiceerde de oplossingen op 21 oktober 2026. De genoemde gepatchte versies zijn:
Servers met een oudere versie binnen een van deze reeksen moeten worden bijgewerkt naar de bijbehorende gepatchte versie. De berichtgeving meldde dat details al vóór de verwachte bekendmaking openbaar waren geworden, waarna PHP de updates versneld uitbracht. 3
13
33
Hoe kwamen de CVE-nummers naar buiten?
Op 20 oktober verscheen op Hacker News een bericht waarin de twee kwetsbaarheden bij hun CVE-nummers werden genoemd. Volgens het bericht zouden de details op 22 oktober bekendgemaakt worden. Het bericht werd verwijderd, maar screenshots waren al verspreid. Beveiligingsonderzoekers meldden daarna dat de informatie echt was en dat de lekken onder embargo vielen. 3
Volgens berichtgeving ontdekte Calif een kwetsbaarheid met hulp van een model van OpenAI. Ook Wiz ontdekte en meldde de kwetsbaarheden onafhankelijk, aldus de berichtgeving over de gecoördineerde aanpak. De beschikbare bronnen onderbouwen niet dat de lekken al ongeveer twintig jaar bestonden. Ook maken ze niet duidelijk welk onderzoeksteam welke CVE ontdekte. 27
33
Tijdelijke uitval en officiële adviezen
Sommige organisaties haalden diensten uit voorzorg tijdelijk offline terwijl ze het risico onderzochten. In de berichtgeving worden diensten genoemd die verbonden zijn aan het Japanse ministerie van Financiën, HR-platform BambooHR, de Haven van Rotterdam en Wikimedia. Zulke uitval is op zichzelf geen bewijs dat de organisaties zijn gehackt. 19
De Amerikaanse cyberdienst CISA riep organisaties met PHP-websites op de patches meteen te installeren. 33 De aangeleverde berichtgeving geeft geen volledig overzicht van het aantal preventieve afsluitingen en bevestigt niet alle meldingen over getroffen ziekenhuizen, scholen en overheidsdiensten.
Wat zeggen de meldingen over exploitpogingen?
Er zijn meldingen van activiteit vóór en na de openbare bekendmaking:
- Amazon meldde dat zijn MadPot-honeypot op 17 oktober een exploitpoging registreerde, vóór de patchrelease van 21 oktober. Een waarneming op een honeypot toont aan dat die sensor werd aangevallen; het bewijst niet dat elders een server succesvol is binnengedrongen.
50
58
- Cloudflare meldde duizenden pogingen in de tien uur vóór de openbare bekendmaking en miljoenen erna. Die aantallen slaan op waargenomen pogingen binnen het netwerk, niet op het aantal servers dat daadwerkelijk is gehackt.
36
- CISA zei ten tijde van zijn waarschuwing geen misbruik te hebben waargenomen. Dat beschrijft wat de dienst op dat moment zag; het sluit waarnemingen van pogingen door beveiligingsbedrijven met andere meetgegevens niet uit.
- Sophos corrigeerde een eerdere melding over succesvolle aanvallen bij klanten. Volgens de bijgewerkte analyse lieten de gegevens scans en een klein aantal mislukte pogingen zien, maar was er op dat moment geen bewijs van een succesvolle inbraak in de eigen omgevingen.
7
Alles bij elkaar rechtvaardigen de meldingen een snelle aanpak: er werden pogingen waargenomen en de mogelijke impact is groot. Ze tonen niet aan dat elke poging slaagde en geven geen definitief totaal van het aantal gehackte systemen.
Wat is niet vastgesteld?
De aangeleverde berichtgeving geeft geen betrouwbaar aantal kwetsbare servers die vanaf het internet bereikbaar zijn. Ook bevestigt die niet dat de lekken ongeveer twintig jaar oud zijn of dat aanvallers AI gebruikten om exploits voor PHP2Shell te ontwikkelen. Er is bericht dat AI hielp bij het ontdekken van kwetsbaarheden; dat is iets anders dan bewijs over hoe aanvallers ze vonden of misbruikten. 27
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell uitgelegd: welke PHP-versies zijn gepatcht en wat is bekend over misbruik?"?
PHP2Shell is de verzamelnaam voor CVE 2026 109618 en CVE 2026 109619. Beide lekken kregen een CVSS v4.0 score van 9,2 en kunnen uitvoering van code op afstand mogelijk maken zonder dat een aanvaller eerst inlogt.
What are the key points to validate first?
PHP2Shell is de verzamelnaam voor CVE 2026 109618 en CVE 2026 109619. Beide lekken kregen een CVSS v4.0 score van 9,2 en kunnen uitvoering van code op afstand mogelijk maken zonder dat een aanvaller eerst inlogt. PHP bracht op 21 oktober 2026 updates uit voor PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, nadat de CVE nummers eerder dan gepland openbaar waren geworden.
What should I do next in practice?
Er zijn exploitpogingen gemeld, maar die meldingen bewijzen niet dat alle pogingen slaagden of dat de betreffende servers zijn gehackt.