php2shell: twee kritieke kwetsbaarheden in PHP vormen wereldwijd een groot beveiligingsrisico

Update 21 oktober 2026, 16:18:
PHP is met een update gekomen. Organisaties doen er verstandig aan deze updates zo snel mogelijk uit te rollen.
“Wie loopt risico: alle PHP-installaties die webverzoeken verwerken, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Wij beschouwen het risico voor mod_php als het grootst, aangezien er een aantoonbare kwetsbaarheid is waarbij een niet-geauthenticeerd verzoek de aanval kan activeren nog voordat er applicatiecode wordt uitgevoerd.”

Twee kritieke kwetsbaarheden in PHP zorgen voor grote zorgen binnen de cybersecuritywereld. De kwetsbaarheden, geregistreerd als CVE-2026-109618 en CVE-2026-109619 en inmiddels bekend onder de naam ‘php2shell’, maken het mogelijk om op afstand kwaadaardige code uit te voeren. Met een CVSS-score van 9,2 en de eerste signalen van actieve aanvallen is snel handelen noodzakelijk.

PHP vormt de technische basis van een groot deel van het internet. Populaire platformen zoals WordPress, Drupal, Joomla en Magento maken gebruik van deze programmeertaal. Dat betekent dat kwetsbaarheden in PHP potentieel gevolgen kunnen hebben voor een enorm aantal websites, webapplicaties en organisaties wereldwijd.

Op 20 oktober 2026 kondigde het PHP Security Team een noodupdate aan om twee kritieke beveiligingslekken te verhelpen. De beveiligingsupdates staan gepland voor 21 oktober om 16.00 uur Nederlandse tijd. Diverse websites zijn uit voorzorg al offline gehaald.

Wat is php2shell?

De naam php2shell verwijst naar twee recent ontdekte kwetsbaarheden in PHP:

• CVE-2026-109618 – Kritieke kwetsbaarheid met een CVSS v4.0-score van 9,2.
• CVE-2026-109619 – Kritieke kwetsbaarheid met eveneens een CVSS v4.0-score van 9,2.

Volgens de beschikbare informatie kunnen deze kwetsbaarheden leiden tot Remote Code Execution (RCE). Dit betekent dat een aanvaller mogelijk op afstand opdrachten kan uitvoeren op een kwetsbare server.

Afhankelijk van de omstandigheden en de rechten waarmee PHP draait, kan succesvolle exploitatie leiden tot toegang tot gevoelige informatie, het aanpassen van applicaties of verdere compromittering van de IT-omgeving.

De exacte technische details en de definitieve lijst van getroffen versies zijn op het moment van schrijven nog niet officieel gepubliceerd.

Eerste aanvallen worden al waargenomen

Wat deze kwetsbaarheden extra zorgwekkend maakt, is dat er al aanwijzingen zijn voor misbruik.

Securitybedrijf watchTowr meldt dat het CVE-2026-109618 vermoedelijk succesvol heeft gereproduceerd. Daarnaast geeft Cloudflare aan de eerste aanvallen waar te nemen en aanvullende beveiligingsmaatregelen te implementeren.

Hoewel nog niet alle technische details bekend zijn, onderstrepen deze ontwikkelingen de urgentie.

Voor cybercriminelen is een kwetsbaarheid in een veelgebruikte technologie als PHP bijzonder interessant. Zodra exploitcode beschikbaar komt, kunnen aanvallers op grote schaal systemen onderzoeken en proberen binnen te dringen.

De combinatie van een hoge ernstscore, een groot potentieel aan getroffen systemen en aanwijzingen voor actieve aanvallen maakt php2shell een kwetsbaarheid die directe aandacht verdient.

Welke PHP-versies zijn kwetsbaar?

Volgens CERT-EU kunnen de kwetsbaarheden mogelijk betrekking hebben op PHP-versies vanaf PHP 5.

Voor de ondersteunde versies worden de volgende beveiligingsupdates verwacht:

PHP-versie	Verwachte beveiligingsupdate
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35
PHP 5.x t/m 8.1	Geen reguliere upstream-update verwacht

Let op: dit zijn voorlopige versienummers. De definitieve getroffen versies en beschikbare updates moeten worden gecontroleerd bij het PHP Security Team en de betreffende softwareleveranciers.

Voor organisaties die nog gebruikmaken van verouderde PHP-versies is de situatie extra uitdagend. Deze versies worden niet langer regulier ondersteund en ontvangen naar verwachting geen officiële beveiligingsupdates.

Bij sommige Linux-distributies kunnen beveiligingspatches overigens alsnog via de leverancier beschikbaar worden gesteld.

Wat moeten organisaties nu doen?

De kwetsbaarheden benadrukken opnieuw hoe belangrijk het is om inzicht te hebben in de gebruikte technologie binnen de eigen IT-omgeving.

Access42 adviseert organisaties de volgende maatregelen te nemen:

1. Breng alle PHP-installaties in kaart

Identificeer servers, webapplicaties, containers en andere systemen waarop PHP wordt gebruikt. Kijk daarbij nadrukkelijk verder dan alleen de systemen die direct zichtbaar zijn vanaf het internet.

2. Prioriteer internettoegankelijke systemen

Systemen die rechtstreeks vanaf het internet bereikbaar zijn, verdienen extra aandacht. Combineer informatie over kwetsbaarheden met de daadwerkelijke blootstelling en de bedrijfskritische functie van het systeem.

3. Installeer beveiligingsupdates zodra deze beschikbaar zijn

Controleer de officiële PHP-beveiligingsupdates en de advisories van leveranciers. Voer de benodigde updates zo snel mogelijk uit en verifieer dat de kwetsbaarheden daadwerkelijk zijn verholpen.

4. Beperk tijdelijk de blootstelling

Wanneer systemen niet direct kunnen worden bijgewerkt, kan het beperken van externe toegang het risico verminderen. Een Web Application Firewall (WAF) kan helpen om bekende aanvalspatronen te blokkeren, maar vormt geen vervanging voor het installeren van beveiligingsupdates.

5. Monitor op mogelijke aanvallen

Controleer webserverlogs, applicatielogs en securitymeldingen op verdachte activiteiten. Let onder andere op ongebruikelijke verzoeken, onverwachte code-uitvoering en verdachte wijzigingen aan bestanden.

Wanneer er aanwijzingen zijn voor succesvolle exploitatie, is aanvullend incidentonderzoek noodzakelijk.

Waarom traditionele beveiligingsmaatregelen mogelijk onvoldoende zijn

Wat php2shell bijzonder maakt, is dat de kwetsbaarheden zich mogelijk bevinden in de manier waarop PHP zelf inkomende HTTP-verzoeken verwerkt.

Uit de eerste technische analyses blijkt dat de kwetsbaarheden mogelijk samenhangen met de verwerking van multipart-verzoeken, die onder andere worden gebruikt bij het uploaden van bestanden.

Deze verwerking vindt plaats voordat een applicatie zoals WordPress, Magento of Laravel het verzoek verder afhandelt. Dit betekent dat beveiligingsmaatregelen binnen de applicatie mogelijk niet in staat zijn een aanval tijdig tegen te houden.

Ook applicaties zonder zichtbare uploadfunctionaliteit zijn daardoor niet automatisch veilig.

Hoewel de precieze technische oorzaak nog officieel moet worden bevestigd, onderstrepen deze bevindingen het belang van beveiliging op meerdere niveaus.

Een Web Application Firewall (WAF) kan helpen om kwaadaardige verzoeken tegen te houden. Maar wat gebeurt er wanneer de achterliggende webserver rechtstreeks vanaf het internet bereikbaar is? Aanvallers kunnen dan mogelijk de WAF omzeilen.

Het gaat daarom niet alleen om de vraag welke beveiligingsmaatregelen aanwezig zijn, maar vooral of deze daadwerkelijk bescherming bieden tegen de relevante aanvalsmethoden.

Patchen is noodzakelijk, maar niet altijd voldoende

Naast het installeren van beveiligingsupdates is het belangrijk om te controleren of deze daadwerkelijk actief zijn.

PHP kan op meerdere plekken binnen een organisatie aanwezig zijn. Denk aan webservers, containers, applicaties van externe leveranciers en omgevingen waarin meerdere PHP-versies naast elkaar draaien.

Ook na het installeren van patches kunnen bestaande processen nog gebruikmaken van verouderde PHP-componenten. Het herstarten of opnieuw uitrollen van deze processen is daarom een belangrijk onderdeel van het patchproces.

Daarnaast verdient het aanbeveling om te onderzoeken of er vóór het installeren van de updates al verdachte activiteiten hebben plaatsgevonden.

Van kwetsbaarheid naar daadwerkelijk risico

De ontwikkelingen rondom php2shell laten zien waarom een integrale aanpak van cybersecurity noodzakelijk is.

Het identificeren van kwetsbaarheden is slechts de eerste stap. Organisaties moeten ook weten welke systemen bereikbaar zijn, hoe deze beveiligd worden en welke impact succesvolle exploitatie kan hebben.

Met Exposure Management ontstaat inzicht in het aanvalsoppervlak en kunnen organisaties kwetsbaarheden prioriteren op basis van blootstelling, dreigingsinformatie en bedrijfscontext.

Gecombineerd met continue monitoring vanuit een Security Operations Center (SOC) ontstaat niet alleen inzicht in potentiële risico’s, maar ook in verdachte activiteiten die kunnen wijzen op daadwerkelijke aanvallen.

De belangrijkste vraag is daarom niet alleen of je kwetsbaar bent, maar ook of je weet waar je kwetsbaar bent, of je beveiligingsmaatregelen werken en of je een mogelijke aanval tijdig kunt detecteren.

Waarom alleen kwetsbaarheden scannen niet voldoende is

De ontdekking van php2shell laat zien dat cybersecurity verder gaat dan het periodiek uitvoeren van vulnerability scans.

Organisaties moeten niet alleen weten welke kwetsbaarheden aanwezig zijn, maar vooral begrijpen welke kwetsbaarheden daadwerkelijk een risico vormen voor hun bedrijfsvoering.

Een kwetsbare PHP-installatie op een geïsoleerde testserver vormt bijvoorbeeld een ander risico dan dezelfde kwetsbaarheid op een internettoegankelijke applicatie die bedrijfskritische processen ondersteunt.

Dit is precies waar Exposure Management een belangrijke rol speelt.

Door informatie over kwetsbaarheden, internettoegankelijke systemen, configuraties en bedrijfscontext samen te brengen, ontstaat een completer beeld van het werkelijke aanvalsoppervlak.

Daarmee kunnen securityteams gerichter prioriteiten stellen en beschikbare capaciteit inzetten op de risico’s die er het meest toe doen.

Maar inzicht alleen is niet voldoende. Wanneer aanvallers al actief misbruik proberen te maken van kwetsbaarheden, wordt ook de snelheid waarmee verdachte activiteiten worden gedetecteerd en opgevolgd bepalend.

De combinatie van preventie, continue monitoring en adequate incident response is daarom essentieel.

Hoe kan Access42 helpen?

Bij Access42 helpen we organisaties om grip te krijgen op hun digitale risico’s. Niet alleen door kwetsbaarheden te identificeren, maar ook door deze te beoordelen vanuit het perspectief van een aanvaller en de impact op de organisatie.

Met onze dienstverlening op het gebied van Exposure Management, Managed Security en 24/7 SOC-monitoringondersteunen we organisaties bij het identificeren, prioriteren en beheersen van kwetsbaarheden.

Onze specialisten helpen om inzicht te krijgen in de blootstelling van systemen, de belangrijkste risico’s aan te pakken en verdachte activiteiten tijdig te signaleren.

Weet jij welke PHP-versies binnen jouw organisatie actief zijn en welke systemen vanaf het internet bereikbaar zijn?

Neem contact op met Access42. We helpen je graag om inzicht te krijgen in je aanvalsoppervlak en de maatregelen die nodig zijn om je organisatie beter te beschermen.

Don’t Panic, We’ve got your back.

Bronnen:

• Tenable Research – php2shell: Frequently Asked Questions
• PHP.net – Upcoming Critical PHP Security Release
• CERT-EU – Security Advisory 2026-018

Aanvullende bronnen:

1. PHP Security Team — Officiële aankondiging

Upcoming Critical PHP Security Release

De primaire bron. Bevestigt twee kritieke kwetsbaarheden met een CVSS v4.0-score van 9,2 en een geplande beveiligingsupdate op 21 oktober 2026 om 16.00 uur Nederlandse tijd.

2. CERT-EU — Security Advisory 2026-018

Critical Vulnerabilities in PHP

Waarschuwt dat PHP-versies vanaf versie 5 mogelijk kwetsbaar zijn. Adviseert om systemen direct te inventariseren en internettoegankelijke applicaties zo nodig tijdelijk te isoleren.

3. watchTowr — Security Research

PHP Remote Code Execution FAQ

Interessant omdat watchTowr zelf betrokken is bij het onderzoeken van de kwetsbaarheden. Het bedrijf heeft aangegeven CVE-2026-109618 vermoedelijk te hebben gereproduceerd.

4. BleepingComputer — Onafhankelijke berichtgeving

PHP warns admins of two critical flaws

Bevat uitspraken van Benjamin Harris, CEO van watchTowr, over de voortijdige onthulling en de mogelijke impact.

5. JFrog Security Research — Technische risicoanalyse

PHP2Shell – All You Need to Know

Vooral interessant vanwege de concrete aanbevelingen rondom inventarisatie, verouderde PHP-versies, containers en patches van leveranciers.

6. Sansec — Impact op webshops

Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619

Bekijkt het risico specifiek vanuit e-commerceomgevingen, zoals Magento, Shopware en WooCommerce. Sansec waarschuwt voor mogelijk snelle grootschalige aanvallen zodra technische details openbaar worden. Dat is een verwachting, geen vastgesteld feit.

7. SecurityWeek — Onafhankelijke analyse

PHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws

Geeft een overzicht van de onthulling, de ernst en het potentiële risico van misbruik zonder authenticatie.