PHP2Shell: twee kritieke PHP-kwetsbaarheden, en wat u er nu mee moet

In het kort

• Er zijn twee kritieke kwetsbaarheden in PHP gemeld, de programmeertaal onder een groot deel van het web. Ze gaan samen rond onder de naam PHP2Shell.
• Het PHP-beveiligingsteam beoordeelt beide als kritiek: 9.2 op een schaal tot 10. Volgens openbare berichtgeving kan een aanvaller er op afstand eigen code mee uitvoeren, mogelijk zonder in te loggen.
• PHP heeft een beveiligingsrelease aangekondigd voor 21 oktober 2026, 14:00 UTC (16:00 Nederlandse tijd), en houdt zich het recht voor eerder uit te brengen als er details openbaar worden of misbruik opduikt.
• Een fix wordt alleen verwacht voor de ondersteunde versies, PHP 8.2 tot en met 8.5. PHP 8.1 en ouder wordt niet meer onderhouden en krijgt naar verwachting geen fix.
• Cloudflare zegt de eerste aanvallen te zien opduiken. Volgens een van de kernontwikkelaars van PHP is updaten de enige echte bescherming.
• De praktische boodschap: weet of u PHP draait en welke versie, en zorg dat de update wordt toegepast zodra die er is.

Waarom dit u waarschijnlijk aangaat

PHP is geen obscuur hoekje van het internet. Het is de taal onder een groot deel van alle websites ter wereld. Draait uw site op WordPress, Drupal, Joomla, Magento of een maatwerkapplicatie in Laravel of Symfony? Dan draait er vrijwel zeker PHP onder de motorkap. Datzelfde geldt voor talloze webshops, klantportalen, intranetten en boekingssystemen.

En daar zit precies de kern. Een lek in PHP zelf zit niet in één product dat u bij naam kent, maar in de laag eronder die al die producten delen. U hoeft dus niets verkeerd gedaan te hebben om geraakt te worden: het volstaat dat uw website, net als de meeste, op PHP draait.

Wat we wél en níet zeker weten

Dit is belangrijk, want in de eerste dagen rond zo'n melding lopen feiten en geruchten door elkaar. De eerlijke stand van zaken op het moment van schrijven:

Zo kwam het naar buiten. Volgens onderzoeksbureau watchTowr stonden de kwetsbaarheden onder embargo tot 22 oktober. Op 20 oktober doken de CVE-nummers toch al op op Hacker News en sociale media, en dezelfde dag publiceerde PHP de vooraankondiging. De naam PHP2Shell komt niet van het PHP-project, maar van een onderzoeker die een video deelde waarin het misbruik wordt gedemonstreerd. watchTowr meldt dat het denkt een van de twee kwetsbaarheden te hebben nagebootst. CERT-EU, het cyberbeveiligingsteam van de Europese instellingen, waarschuwt dat mogelijk alle PHP-versies vanaf PHP 5 geraakt zijn. Ook dat heeft PHP nog niet bevestigd.

Over actief misbruik is het beeld nog niet compleet. Cloudflare zegt de eerste aanvallen te zien opduiken, maar hoe groot dat is, is niet bekend. Daarnaast circuleert er code die zou laten zien hoe de lekken te misbruiken zijn. Of die werkt, is niet bevestigd, en zulke code bevat soms zelf malware: laat uw team die dus niet "even uitproberen". Wacht met handelen niet op meer zekerheid. Bij een kritieke kwetsbaarheid in zoiets wijdverbreids als PHP is het verstandig uit te gaan van het ongunstige scenario.

Wat u nu kunt doen

Het lek zit in PHP zelf, dus u lost dit niet op door iets aan te passen in uw website of CMS. Het gaat om de PHP-versie op uw server of in uw hostingomgeving. Een praktisch stappenplan, zonder dat u technisch hoeft te zijn:

1. Zoek uit of u PHP draait, en welke versie. Draait uw site op WordPress, Drupal, Joomla of een webshoppakket als Magento of WooCommerce, dan zit er vrijwel zeker PHP onder. Uw websitebouwer, IT-beheerder of hostingpartij kan u de versie vertellen. Gebruikt u een volledig gehoste dienst waarbij u zelf geen server beheert, zoals Shopify of Wix, dan is de onderliggende software de verantwoordelijkheid van de aanbieder.
2. Draait uw site bij een hostingpartij of beheerde (managed) omgeving? Dan past de hoster de update doorgaans voor u toe. Vraag vandaag nog bij ze na wanneer dat gebeurt, en vraag om een bevestiging achteraf. De meeste serieuze hosters sturen hierover zelf bericht.
3. Beheert u zelf een server of draait u in eigen containers? Plan de update dan direct na het verschijnen van de release en voer die zo snel mogelijk uit. Installeert u PHP via uw Linux-distributie, volg dan de beveiligingsmelding van die distributie: de versienummers daar kunnen afwijken van die op php.net. Draait u containers, bouw dan ook de images opnieuw.
4. Draait u op PHP 8.1 of ouder? Daar komt naar verwachting geen fix voor: deze versies worden niet meer onderhouden en krijgen al geen beveiligingsupdates meer. Plan een upgrade naar een ondersteunde versie, en vraag uw hoster of leverancier wat er tot die tijd aan afscherming mogelijk is.
5. Kunt u niet direct updaten? Vertrouw niet op losse instellingen die online als "noodoplossing" rondgaan; volgens de PHP-ontwikkelaars bieden die geen bescherming. Overleg met uw hoster of de leverancier van uw firewall over tijdelijke afscherming. CERT-EU adviseert om applicaties die vanaf internet bereikbaar zijn zo nodig af te schermen tot er een fix is. Zie zo'n maatregel als overbrugging: de update zelf blijft nodig.

De bredere les

PHP2Shell is bovenal een herinnering aan iets wat makkelijk uit beeld raakt: uw aanvalsoppervlak is groter dan uw eigen code. Onder elke website zit een stapel software die u niet zelf heeft geschreven, van de programmeertaal tot de webserver tot de bibliotheken van derden. Als daar een lek in zit, erft u dat, hoe netjes uw eigen applicatie ook in elkaar zit. Dit is in de kern hetzelfde patroon dat we eerder beschreven bij een kwetsbaarheid in een framework en bij uw toeleveringsketen onder NIS2: het risico zit vaak in een onderdeel waar u niet dagelijks naar kijkt.

De praktische waarde zit daarom niet in paniek bij elk nieuw lek, maar in overzicht vooraf. Weet welke systemen u online heeft, waar ze draaien en op welke versies, zodat u op een dag als vandaag snel weet of het u raakt, in plaats van dat te moeten uitzoeken terwijl de klok tikt.

Conclusie

Twee kritieke kwetsbaarheden in PHP, een aangekondigde update en veel ruis eromheen. De kern is rustig samen te vatten: ga ervan uit dat u PHP draait, zorg dat de update wordt toegepast zodra die er is, en controleer de details bij de bron. En gebruik dit moment om uzelf de vraag te stellen die dit soort meldingen altijd weer stelt: weet ik eigenlijk precies wat er onder mijn systemen draait?

Dit artikel is gebaseerd op openbare informatie en weerspiegelt de stand van zaken op 21 oktober 2026. De definitieve details volgen uit de officiële PHP-advisory.