AnswersPublished30 sources
PHP2Shell: wat websitebeheerders nu moeten weten
PHP2Shell is de verzamelnaam voor twee kritieke kwetsbaarheden in PHP: CVE 2026 109618 en CVE 2026 109619. PHP bracht op 21 oktober 2026 updates uit.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- PHP2Shell is de verzamelnaam voor twee kritieke kwetsbaarheden in PHP: CVE 2026 109618 en CVE 2026 109619.
- PHP bracht op 21 oktober 2026 updates uit. Scans en pogingen tot misbruik zijn gemeld, maar die bewijzen niet dat systemen daadwerkelijk zijn binnengedrongen of dat er sprake is van grootschalige compromittering.
- Websitebeheerders moeten alle PHP installaties controleren, de juiste patch installeren en nagaan of er aanwijzingen zijn voor misbruik.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the October 2026 “PHP2Shell” cybersecurity crisis involving AI-discovered flaws CVE-2026-109618 and CVE-2026-109619 in PHP, which po. Article summary: PHP2Shell is the name given to two critical PHP vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution; emergency patches and precautionary shutdowns followed their Oc. Topic tags: general, general web, government, news, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermar
PHP2Shell is de naam voor twee kritieke kwetsbaarheden in PHP: CVE-2026-109618 en CVE-2026-109619. Beide kunnen onder bepaalde omstandigheden leiden tot uitvoering van code op afstand, zonder dat een aanvaller eerst hoeft in te loggen. Dat maakt de kwetsbaarheden ernstig voor servers waarop de getroffen PHP-code bereikbaar is. PHP bracht op 21 oktober 2026 beveiligingsupdates uit. Sommige organisaties haalden diensten uit voorzorg tijdelijk offline. Gemelde scans en aanvalspogingen zijn echter geen bewijs dat systemen daadwerkelijk zijn gehackt. 4
7
18
Wat doen de PHP2Shell-kwetsbaarheden?
De kwetsbaarheden zitten in PHP zelf, de software die op een server dynamische websites en toepassingen laat draaien. Het gaat dus niet om een lek in één specifieke websiteplugin. De ene kwetsbaarheid heeft te maken met geheugenproblemen wanneer PHP onvoldoende geheugen heeft; de andere met verouderde globale toestand. Een speciaal samengesteld verzoek kan onder bepaalde omstandigheden leiden tot uitvoering van code op afstand. Een van de kwetsbaarheden kan daarnaast gevoelige informatie uit het procesgeheugen blootleggen. 4
11
PHP wordt op grote schaal gebruikt. Sommige schattingen stellen dat de taal achter wel 70 procent van de websites zit. Dat betekent niet dat al die websites kwetsbaar of even makkelijk aan te vallen zijn: het risico hangt onder meer af van de PHP-versie, de configuratie en de vraag of de betreffende code daadwerkelijk bereikbaar is. 45
46
AI-ondersteund onderzoek en vervroegde openbaarmaking
In berichtgeving worden onderzoekers en teams van Wiz, Calif en OpenAI genoemd bij het vinden en verhelpen van de kwetsbaarheden; sommige artikelen beschrijven AI als onderdeel van het onderzoeksproces. De beschikbare berichtgeving bevestigt niet alle details van het ontdekkingsverhaal, zoals een specifieke route van WordPress naar Drupal of een precieze verdeling van de ontdekkingen per CVE. 14
45
Volgens berichtgeving was een onderliggend probleem met geheugenbeheer eerder opgemerkt, maar werd de mogelijkheid om het op afstand te misbruiken pas later aangetoond. Dat onderscheid is belangrijk: een verdacht softwareprobleem signaleren is niet hetzelfde als bewijzen dat er een praktische aanval mee mogelijk is. 22
38
Details lekten uit voordat de geplande openbare bekendmaking plaatsvond. Dat zette extra druk op de respons en droeg bij aan de haast om patches uit te brengen. 6
23 De situatie laat zien hoe snel een beveiligingsprobleem ook een operationele uitdaging kan worden wanneer onderzoek, controle en installatie van updates onder tijdsdruk moeten gebeuren.
Patches, aanvalspogingen en wat de meldingen aantonen
De PHP-versies met de fixes die op 21 oktober verschenen, zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Beheerders doen er ook goed aan het advies van hun hosting- of besturingssysteemleverancier te controleren: sommige leveranciers verwerken de fix in hun eigen pakket zonder het versienummer van PHP zelf te gebruiken. 4
39
Beveiligingsbedrijven meldden scans en pogingen tot misbruik rond de bekendmaking. In berichtgeving over Cloudflare werd ook gesproken over een sterke toename van pogingen. Zulke aantallen geven weer wat specifieke diensten aan verzoeken of pogingen hebben waargenomen; ze zeggen niet hoeveel systemen daadwerkelijk zijn binnengedrongen. 5
36
De berichtgeving verschilde over de vraag of er al succesvolle aanvallen waren bevestigd. De BBC meldde op 22 oktober dat er nog geen succesvolle aanvallen waren gemeld. Een later advies van Beazley verwees naar brede aanvalspogingen, maar meldde geen bevestigde grootschalige compromittering. Sansec stelde zijn inschatting eveneens bij en schreef dat grootschalig misbruik minder waarschijnlijk leek dan aanvankelijk gedacht. Dit zijn tijdgebonden beoordelingen; geen ervan maakt een niet-gepatchte server veilig. 7
9
18
Waarom diensten tijdelijk offline gingen
Sommige organisaties beperkten of schakelden diensten tijdelijk uit terwijl ze onderzochten of ze risico liepen en updates voorbereidden. Volgens berichtgeving haalde de Britse overheid 32 diensten offline. Een statusoverzicht registreerde meer dan 100 diensten die vóór de beschikbaarheid van een patch een storing, onderhoudsvenster of waarschuwing over PHP2Shell meldden. Zulke maatregelen tonen de verstoring die noodonderhoud kan veroorzaken, maar bewijzen op zichzelf niet dat de diensten waren aangevallen. 22
34
Andere berichten beschreven reacties van overheden en organisaties in meerdere landen. De beschikbare informatie biedt echter geen volledige, onafhankelijk geverifieerde lijst van getroffen diensten en bevestigt niet elke genoemde lokale storing. 20
25
Wat websitebeheerders nu moeten doen
- Breng alle PHP-installaties in kaart. Controleer niet alleen de productieservers, maar ook containers, reservesystemen en omgevingen bij hostingpartijen.
- Installeer zo snel mogelijk de juiste fix. Gebruik een gepatchte versie of een door de leverancier bevestigde backport. Herstart zo nodig PHP-processen of diensten en controleer daarna welke versie daadwerkelijk draait. Een update van een PHP-applicatie of plugin vervangt geen update van PHP zelf.
14
39
- Beperk de blootstelling als direct patchen niet lukt. Afhankelijk van de bereikbaarheid en het belang van de dienst kunt u publieke toegang beperken of de dienst tijdelijk uitschakelen. Netwerkregels zijn hooguit een tijdelijke maatregel, geen vervanging voor de patch.
- Controleer op mogelijke inbraak. Bekijk relevante logbestanden en let op onverwachte bestanden, processen of beheerdersaccounts. Als u een inbraak vermoedt, bewaar dan bewijsmateriaal en onderzoek de situatie: alleen patchen maakt een bestaande inbraak niet ongedaan.
- Vraag uw leverancier om bevestiging. Gebruikt uw organisatie hosting of beheerde diensten, vraag dan expliciet na of alle PHP-installaties waarop u steunt zijn bijgewerkt.
De Amerikaanse NSA adviseerde om kritieke patches te installeren en zei prioriteit te geven aan het opsporen van kwaadwillenden die PHP2Shell mogelijk willen misbruiken. Ook de FBI riep organisaties op hun PHP-installaties bij te werken. De beschikbare bronnen bevestigen geen gezamenlijke FBI-, NSA- en CISA-instructie die alle organisaties opdraagt systemen uit te schakelen als patchen niet meteen lukt. 17
28
Wat particulieren wel en niet kunnen doen
Houd persoonlijke apparaten, apps en routers bijgewerkt. Gebruik daarnaast multifactorauthenticatie en unieke wachtwoorden. Dat zijn nuttige algemene beveiligingsmaatregelen, maar ze repareren de PHP-software van een website niet. Die taak ligt bij de beheerder of hostingprovider.
De praktische les van PHP2Shell is dat organisaties snel én zorgvuldig moeten patchen en voorbereid moeten zijn op een korte reactietijd. Het incident onderstreept dat onderzoek naar kwetsbaarheden en pogingen om ze uit te buiten zich snel kunnen ontwikkelen. De beschikbare informatie rechtvaardigt echter niet om aantallen aanvalspogingen gelijk te stellen aan bevestigde grootschalige inbraken, of te spreken van een algemene instorting van de webbeveiliging.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: wat websitebeheerders nu moeten weten"?
PHP2Shell is de verzamelnaam voor twee kritieke kwetsbaarheden in PHP: CVE 2026 109618 en CVE 2026 109619.
What are the key points to validate first?
PHP2Shell is de verzamelnaam voor twee kritieke kwetsbaarheden in PHP: CVE 2026 109618 en CVE 2026 109619. PHP bracht op 21 oktober 2026 updates uit. Scans en pogingen tot misbruik zijn gemeld, maar die bewijzen niet dat systemen daadwerkelijk zijn binnengedrongen of dat er sprake is van grootschalige compromittering.
What should I do next in practice?
Websitebeheerders moeten alle PHP installaties controleren, de juiste patch installeren en nagaan of er aanwijzingen zijn voor misbruik.
Sources
dynatrace.comCVE-2026-109618 & CVE-2026-109619: PHP2Shell Critical ...
labs.beazley.securityPHP2SHELL: Critical PHP RCE Flaws Threaten Web Infrastructure ...
bbc.comPHP: What is it and why did it spark a global cyber security ...
sec.cloudapps.cisco.comVulnerabilities in PHP Affecting Cisco Products: October 2026