AnswersPublished24 sources
PHP2Shell: kritieke lekken in PHP vragen om snelle actie
PHP2Shell bestaat uit twee kritieke kwetsbaarheden waarmee een aanvaller zonder in te loggen op een kwetsbare server code kan uitvoeren. De fixes zitten in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- PHP2Shell bestaat uit twee kritieke kwetsbaarheden waarmee een aanvaller zonder in te loggen op een kwetsbare server code kan uitvoeren.
- De fixes zitten in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Breng PHP installaties in kaart en installeer de juiste update of een bevestigde backport.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell is de verzamelnaam voor twee kritieke kwetsbaarheden in de verwerking van webverzoeken door PHP: CVE-2026-109618 en CVE-2026-109619. Een aanvaller kan ze mogelijk misbruiken om zonder in te loggen code uit te voeren op een kwetsbare server. PHP bracht op 21 oktober 2026 met spoed beveiligingsupdates uit, nadat de kwetsbaarheden voortijdig openbaar waren geworden. Meldingen van aanvalspogingen wijzen op risico, maar bewijzen op zichzelf niet dat systemen zijn binnengedrongen. 4
6
15
Wat is er kwetsbaar?
De lekken zitten in PHP zelf, niet in één specifieke website of toepassing. Volgens beveiligingsadviezen zijn PHP-versies vanaf 5.4 getroffen. Een speciaal samengesteld webverzoek kan de fouten activeren op systemen die webverkeer verwerken. 8
14
De technische oorzaken verschillen: CVE-2026-109618 heeft te maken met geheugenbeschadiging bij een out-of-memory-situatie; CVE-2026-109619 met verouderde globale status. Beide kwetsbaarheden kregen een score van 9,2 op de CVSS 4.0-schaal en zijn als kritiek aangemerkt. 4
15
PHP wordt veel gebruikt, maar de beschikbare bronnen geven geen betrouwbaar percentage van alle websites dat hierdoor kwetsbaar is. Schattingen kunnen bovendien verschillende groepen websites als uitgangspunt nemen. Voor beheerders is de praktische vraag daarom: draait er ergens in de productieomgeving een niet-gepatchte PHP-installatie die webverzoeken verwerkt? 3
14
Voortijdig openbaar, daarna patches
De kwetsbaarheden werden op 20 oktober openbaar, een dag voordat PHP de noodupdates uitbracht en vóór de geplande bekendmaking op 22 oktober. 6
7
16
Cloudflare noemde Calif, Wiz, OpenAI en Quarkslab in zijn verslag over de bekendmaking. Berichtgeving uit die periode schreef de AI-ondersteunde ontdekking toe aan onderzoekers van Calif en meldde dat Wiz de kwetsbaarheden onafhankelijk ontdekte en rapporteerde. De beschikbare bronnen maken niet precies duidelijk wat de technische bijdrage van iedere partij was. 14
20
De fixes van 21 oktober zijn opgenomen in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. 15
16 Beheerders doen er goed aan eerst vast te stellen welke PHP-versies in productie draaien en vervolgens de bijbehorende bijgewerkte release te installeren. Is een upgrade niet beschikbaar, controleer dan of de leverancier een beveiligingsfix heeft teruggeporteerd naar het gebruikte pakket. Sommige hostingproviders doen dat zonder het versienummer dat je ziet aan te passen; raadpleeg in dat geval de beveiligingsmelding van de provider.
1
Wat is bekend over misbruik?
Op 21 oktober berichtten beveiligingsmedia over aanvalspogingen. Cloudflare zei aanvalverkeer te hebben gezien; SecurityWeek meldde dat meerdere cybersecuritybedrijven pogingen hadden waargenomen voordat PHP de patches uitbracht. 14
15
De meldingen gaven geen eenduidig bewijs dat aanvallers systemen succesvol hadden gecompromitteerd. Een latere samenvatting van de berichtgeving van 21 oktober stelde dat CISA en het Canadese Centre for Cyber Security op dat moment geen misbruik hadden waargenomen of vastgesteld, terwijl bedrijven wel pogingen rapporteerden. Dat zijn verschillende zaken: een kwaadaardig verzoek is niet hetzelfde als een geslaagde inbraak. En als een overheidsinstantie geen misbruik heeft waargenomen, bewijst dat niet dat er nergens een systeem is getroffen. 25
Wat moeten organisaties doen?
De Amerikaanse NSA adviseerde organisaties om patches van leveranciers prioriteit te geven en in kaart te brengen welke hardware- en softwarediensten afhankelijk zijn van kwetsbare PHP-versies. 17 Ook meldde berichtgeving dat CISA opriep tot onmiddellijk patchen.
20 Als een getroffen dienst niet snel kan worden bijgewerkt, werd geadviseerd die tijdelijk offline te halen in plaats van kwetsbaar online te laten staan.
7
21
Cloudflare meldde dat klanten met een gratis of betaald WAF-abonnement vanaf 21 oktober om 03.02 UTC standaard bescherming tegen PHP2Shell hadden. 14 Een WAF (webapplicatiefirewall) kan een extra verdedigingslaag bieden, maar vervangt geen PHP-update. Het inschakelen van een filter is geen bewijs dat de onderliggende server veilig is.
14
17
De kwestie raakt mogelijk ook producten die PHP gebruiken. Help Net Security meldde dat Palo Alto Networks alle versies van PAN-OS en Panorama als getroffen aanmerkte en dat er ten tijde van het bericht nog geen fixes beschikbaar waren. 33 De gevolgen en tijdelijke maatregelen verschillen per product. Organisaties met netwerkapparatuur of beheerde platforms moeten daarom de melding van de betreffende leverancier volgen, en niet aannemen dat een PHP-update die producten automatisch beschermt.
De kern
Behandel PHP2Shell als een urgente updatekwestie: inventariseer PHP-diensten, installeer de juiste gepatchte versie of een door de leverancier bevestigde backport, en gebruik isolatie of filtering alleen als tijdelijke maatregel. De berichtgeving van 21 oktober onderbouwt dat er aanvalspogingen waren, maar niet dat iedere poging tot een inbraak leidde. 1
15
17
25
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: kritieke lekken in PHP vragen om snelle actie"?
PHP2Shell bestaat uit twee kritieke kwetsbaarheden waarmee een aanvaller zonder in te loggen op een kwetsbare server code kan uitvoeren.
What are the key points to validate first?
PHP2Shell bestaat uit twee kritieke kwetsbaarheden waarmee een aanvaller zonder in te loggen op een kwetsbare server code kan uitvoeren. De fixes zitten in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Breng PHP installaties in kaart en installeer de juiste update of een bevestigde backport.
Sources
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...