AnswersPublished27 sources
PHP2Shell: wat de kritieke PHP-lekken betekenen en wat je kunt doen
PHP2Shell is de naam voor twee kritieke PHP lekken met een CVSS score van 9,2. Misbruik kan aanvallers zonder in te loggen code laten uitvoeren op een kwetsbare server.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- PHP2Shell is de naam voor twee kritieke PHP lekken met een CVSS score van 9,2. Misbruik kan aanvallers zonder in te loggen code laten uitvoeren op een kwetsbare server.
- De kwetsbaarheden zouden al jaren in PHP hebben gezeten. Bij het onderzoek naar de lekken is volgens berichtgeving ook AI ingezet.
- Controleer welke PHP versie daadwerkelijk op je server draait en installeer een bevestigde patch van PHP of je leverancier.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the global “php2shell” crisis involving PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619, why did Microsoft CEO Satya Nadella. Article summary: “PHP2Shell” is an urgent PHP security and patching incident involving CVE-2026-109618 and CVE-2026-109619: two critical flaws that can let an attacker execute code on a vulnerable web server without logging in, potential. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell is de naam voor twee kritieke kwetsbaarheden in PHP: CVE-2026-109618 en CVE-2026-109619. Als een aanvaller ze met succes misbruikt, kan die zonder in te loggen code uitvoeren op een kwetsbare server. De patches verschenen op 21 oktober 2026. Beveiligingsbedrijven hebben aanvalspogingen gemeld, maar een poging is niet hetzelfde als een bevestigde inbraak.11
14
19
Wat doen de PHP2Shell-lekken?
De kwetsbaarheden zitten in PHP zelf, niet in één specifieke website of een bepaald contentmanagementsysteem. Red Hat beschrijft het ene lek als een probleem met geheugenverwerking wanneer een geheugenaanvraag mislukt tijdens het verwerken van een verzoek. Het andere kan verouderde interne gegevens achterlaten als een fatale fout het opruimen onderbreekt.7 Samen kunnen de problemen leiden tot uitvoering van code op afstand: een aanvaller kan dan mogelijk code uitvoeren op een kwetsbare server zonder eerst in te loggen.
11
13
Beide kwetsbaarheden kregen een CVSS v4.0-score van 9,2, een classificatie voor een kritiek beveiligingsrisico.4 Mogelijke gevolgen zijn dat een server wordt overgenomen, gegevens uitlekken of diensten worden verstoord. Dat betekent niet dat iedere PHP-website is aangevallen of gehackt.
13
Waarom er snel aandacht voor kwam
Volgens berichtgeving zaten de kwetsbaarheden al jaren in PHP voordat ze aan het licht kwamen.42 Dat ze lang in de software aanwezig waren, bewijst op zichzelf niet dat aanvallers ervan wisten of ze in die periode hebben misbruikt.
Ook de rol van AI bij beveiligingsonderzoek kreeg aandacht. Calif en Wiz gebruikten volgens berichtgeving AI-hulpmiddelen bij hun onderzoek; OpenAI was betrokken bij het onderzoeks- en meldingsproces.34
44 AI kan onderzoekers helpen software te doorzoeken, maar het verhaal over de ontdekking zegt op zichzelf niet hoe snel aanvallers vergelijkbare hulpmiddelen kunnen inzetten of wie daarmee in het voordeel is.
In berichtgeving werd ook gewezen op het brede gebruik van PHP; soms wordt geschat dat de taal achter ongeveer 70% van de websites zit.20 Dat cijfer gaat over het gerapporteerde bereik van PHP, niet over het aantal servers waarvan vaststaat dat ze kwetsbaar of gehackt zijn. Het werkelijke risico hangt onder meer af van de PHP-versie, de configuratie en de manier waarop de software is uitgerold, én van de vraag of de patch is geïnstalleerd.
Patches en gemelde aanvalspogingen
Het PHP-project bracht op 21 oktober fixes uit in versies 8.2.35, 8.3.36, 8.4.27 en 8.5.12.19 Die lijst betreft de genoemde upstream-releases voor PHP 8.2 tot en met 8.5. Gebruik je een oudere versie, controleer dan de beveiligingsmeldingen van je besturingssysteem of hostingprovider. Ga niet zonder verificatie ervan uit dat er wel — of juist geen — patch of teruggeporteerde fix beschikbaar is.
Er zijn meldingen van pogingen om de kwetsbaarheden te misbruiken. SecurityWeek meldde dat Amazon op 17 oktober een poging had waargenomen, vier dagen voordat de patches uitkwamen.14 Ook meldde Cloudflare een sterke stijging van het aantal pogingen na de bekendmaking; in latere berichtgeving liep het aantal op tot miljoenen.
27
38 Dit zijn waargenomen pogingen, geen tellingen van geslaagde inbraken.
De berichtgeving over de omvang van de exploitatie loopt uiteen. Sommige bronnen melden actieve pogingen, terwijl een andere bron stelt dat grootschalige exploitatie minder waarschijnlijk leek dan aanvankelijk werd verwacht.3
4 De beschikbare informatie bewijst niet dat er op grote schaal succesvolle inbraken zijn geweest. Neem geloofwaardige meldingen serieus, maar maak onderscheid tussen scans of aanvalspogingen en bewijs dat een specifieke server is gehackt.
2
3
Websites tijdelijk offline
Sommige organisaties haalden publiek toegankelijke diensten tijdelijk offline tijdens hun reactie op het lek. Volgens berichtgeving gebeurde dat in Japan, Frankrijk, Finland en Nederland; ook riepen Amerikaanse en Europese instanties organisaties op om maatregelen te nemen.18
20
35 Een website tijdelijk offline halen kan de blootstelling tijdens onderzoek of herstel beperken, maar is geen bewijs dat de website is gehackt.
Wat beheerders nu kunnen doen
- Controleer de PHP-runtime. PHP2Shell treft de PHP-runtime zelf. Alleen een CMS of plug-in bijwerken is dus geen bewijs dat ook de onderliggende PHP-installatie is bijgewerkt.
13
- Installeer een bevestigde fix. Werk bij naar een geschikte, gepatchte PHP-versie of volg de instructies van je leverancier voor een teruggeporteerde patch. Controleer welke versie daadwerkelijk in productie draait.
19
- Onderzoek mogelijke inbraak. Een patch verhelpt de kwetsbaarheid, maar bewijst niet dat een server nooit is benaderd. Controleer relevante logbestanden en onderzoek verdachte activiteit voordat je de normale dienstverlening hervat.
- Wees voorzichtig met tijdelijke maatregelen. Volg actuele aanwijzingen van de PHP-onderhouders of je leverancier. Vertrouw niet op één configuratiewijziging of een webapplicatiefirewall als vervanging voor een bevestigde fix in de PHP-runtime.
15
27
- Bescherm accounts als extra beveiligingslaag. Unieke wachtwoorden en multifactorauthenticatie helpen accounts te beveiligen, maar lossen een serverlek op afstand waarvoor geen login nodig is niet op.
Voor IT-teams is het belangrijk onderscheid te maken tussen een kwetsbaarheid, een poging om die uit te buiten en een bevestigde inbraak. Zo kun je snel patchen zonder onbevestigde claims als vaststaande feiten te presenteren.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: wat de kritieke PHP-lekken betekenen en wat je kunt doen"?
PHP2Shell is de naam voor twee kritieke PHP lekken met een CVSS score van 9,2. Misbruik kan aanvallers zonder in te loggen code laten uitvoeren op een kwetsbare server.
What are the key points to validate first?
PHP2Shell is de naam voor twee kritieke PHP lekken met een CVSS score van 9,2. Misbruik kan aanvallers zonder in te loggen code laten uitvoeren op een kwetsbare server. De kwetsbaarheden zouden al jaren in PHP hebben gezeten. Bij het onderzoek naar de lekken is volgens berichtgeving ook AI ingezet.
What should I do next in practice?
Controleer welke PHP versie daadwerkelijk op je server draait en installeer een bevestigde patch van PHP of je leverancier.
Sources
cyber.gc.caAL26-026 - Critical vulnerabilities impacting PHP - CVE- ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php...