PHP2Shell: kwetsbaarheden ontdekken is één ding, maar hoe zorg je dat het risico daadwerkelijk verdwijnt?

De kritieke PHP2Shell-kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) vormen een serieus risico voor organisaties wereldwijd. Inmiddels zijn beveiligingsupdates beschikbaar, maar daarmee is het probleem niet automatisch opgelost. Want weet je welke systemen binnen jouw organisatie kwetsbaar zijn, welke daarvan vanaf het internet bereikbaar zijn en of de benodigde updates daadwerkelijk zijn uitgevoerd?

De ontdekking van PHP2Shell op 20 oktober 2026 maakte opnieuw duidelijk hoe groot de impact van kwetsbaarheden in veelgebruikte technologie kan zijn. Met een CVSS-score van 9,2 behoren beide kwetsbaarheden tot de categorie kritiek. Succesvolle exploitatie kan aanvallers in staat stellen om zonder authenticatie op afstand kwaadaardige code uit te voeren.

Op 21 oktober werden beveiligingsupdates uitgebracht voor de ondersteunde PHP-versies. Maar voor veel organisaties begint de grootste uitdaging dan pas. Het identificeren van kwetsbare systemen, bepalen van prioriteiten en coördineren van herstelmaatregelen vraagt om meer dan alleen een vulnerability scan.

In dit artikel laten we zien hoe organisaties hun blootstelling aan PHP2Shell kunnen onderzoeken met behulp van Tenable One Vulnerability en Exposure Management en hoe je de benodigde herstelmaatregelen kan versnellen.

De grootste uitdaging: weet je waar je kwetsbaar bent?

PHP is een van de meest gebruikte programmeertalen voor webapplicaties. De technologie wordt onder andere toegepast binnen WordPress, Drupal, Joomla, Magento en tal van maatwerkapplicaties. Dat maakt PHP2Shell bijzonder relevant. Binnen een organisatie kan PHP op veel verschillende plekken aanwezig zijn. Denk aan publiek toegankelijke websites, interne applicaties, cloudomgevingen, containers en software van externe leveranciers.

Daarbij zijn niet alle systemen altijd bekend bij het securityteam. Een vergeten webserver, een tijdelijke ontwikkelomgeving die nooit is verwijderd of een applicatie die buiten het reguliere IT-beheer valt, kan een aantrekkelijk doelwit vormen voor aanvallers.

“Je kunt immers geen kwetsbaarheden verhelpen op systemen waarvan je niet weet dat ze bestaan.”

Dit is een van de redenen waarom inzicht in het volledige aanvalsoppervlak zo belangrijk is.

Hoe helpt Tenable bij het identificeren van PHP2Shell?

Tenable biedt verschillende mogelijkheden om kwetsbare systemen te ontdekken, de risico’s te beoordelen en herstelmaatregelen te ondersteunen.

1. Attack Surface Management: ontdek wat vanaf het internet bereikbaar is

Met Tenable One Attack Surface Management (ASM) kunnen organisaties hun externe aanvalsoppervlak continu in kaart brengen. Door onder andere domeinnamen, IP-adressen, DNS-informatie en andere publiek beschikbare gegevens te analyseren, kunnen ook systemen worden ontdekt die niet in de reguliere IT-inventarisatie voorkomen. Voor PHP2Shell is dit bijzonder relevant.

Organisaties kunnen binnen Tenable ASM zoeken naar systemen waarop PHP wordt herkend en deze opnemen in een gerichte beoordeling. Hiermee ontstaat inzicht in de vraag welke mogelijke PHP-installaties vanaf het internet bereikbaar zijn en nader onderzocht moeten worden.

2. Vulnerability Management: identificeer kwetsbare PHP-versies

Met Tenable Vulnerability Management en Tenable Security Center kunnen organisaties hun systemen onderzoeken op de aanwezigheid van de PHP2Shell-kwetsbaarheden. Tenable heeft detectiemogelijkheden beschikbaar gesteld voor CVE-2026-109618 en CVE-2026-109619, waaronder controles voor PHP-pakketten die via Linux-distributies worden geleverd.

Door gerichte scans uit te voeren en de beschikbare detectieplugins actueel te houden, kunnen securityteams vaststellen welke systemen aandacht nodig hebben. Maar het detecteren van een kwetsbaarheid is slechts het begin. Een kwetsbare interne ontwikkelserver vertegenwoordigt doorgaans een ander risico dan een internettoegankelijke applicatie die toegang heeft tot bedrijfskritische gegevens.

Niet iedere kwetsbaarheid vormt hetzelfde bedrijfsrisico, ook niet wanneer de CVSS-score identiek is.

3. Web Application Scanning: onderzoek de applicatielaag

Met Tenable Web App Scanning kunnen webapplicaties en API’s worden onderzocht op kwetsbaarheden en onveilige componenten. Dit is relevant voor applicaties waarin PHP wordt gebruikt, maar waarbij de onderliggende technologie niet altijd direct zichtbaar is vanuit reguliere infrastructuurscans.

Door resultaten vanuit Attack Surface Management te combineren met Web App Scanning ontstaat een completer beeld van mogelijke kwetsbaarheden binnen publiek toegankelijke applicaties. Het blijft daarbij belangrijk om te beseffen dat een webapplicatiescan niet iedere verborgen PHP-installatie kan identificeren. Aanvullende controles op de onderliggende systemen blijven noodzakelijk.

4. Cloud Exposure: ook kwetsbare systemen in de cloud

Steeds meer organisaties gebruiken cloudplatformen zoals Microsoft Azure, AWS en Google Cloud. PHP-installaties kunnen zich daardoor niet alleen op traditionele servers bevinden, maar ook binnen virtuele machines, containers en cloudworkloads. Met Tenable One Cloud Exposure kunnen organisaties kwetsbaarheden binnen deze omgevingen identificeren en onderzoeken.

Tenable biedt hiervoor onder andere een Emerging Threats-overzicht waarin PHP2Shell-gerelateerde bevindingen kunnen worden weergegeven. Dit maakt het mogelijk om kwetsbare workloads en container-images te identificeren, inclusief systemen die mogelijk niet zichtbaar zijn in reguliere netwerkgebaseerde scans.

Van kwetsbaarheid naar prioriteit: waarom Exposure Management het verschil maakt

Traditioneel Vulnerability Management richt zich voornamelijk op het identificeren en rapporteren van kwetsbaarheden. Dat blijft noodzakelijk, maar het geeft niet altijd voldoende inzicht in het daadwerkelijke risico. Stel dat een organisatie tientallen systemen heeft waarop een kwetsbare PHP-versie draait.

Welke systemen moeten als eerste worden aangepakt? De systemen met de hoogste kwetsbaarheidsscore? De systemen die het langst kwetsbaar zijn? Of juist de systemen die aanvallers daadwerkelijk kunnen bereiken en waarmee toegang tot kritieke bedrijfsprocessen mogelijk is?

Met Exposure Management worden verschillende informatiebronnen samengebracht om deze vragen beter te kunnen beantwoorden.

Daarbij wordt niet alleen gekeken naar de kwetsbaarheid zelf, maar ook naar zaken als:

• De bereikbaarheid van het systeem vanaf het internet.
• De aanwezigheid van andere kwetsbaarheden of onveilige configuraties.
• Mogelijke aanvalspaden naar andere systemen.
• De rechten en toegangsmogelijkheden van het getroffen systeem.
• De mogelijke impact op bedrijfskritische processen.

Hierdoor ontstaat een beter beeld van waar de grootste risico’s zich bevinden. Tenable One ondersteunt deze aanpak door informatie uit verschillende securitydomeinen samen te brengen en kwetsbaarheden in een bredere context te plaatsen.

Herstelmaatregelen versnellen met Tenable Hexa AI

Een interessante ontwikkeling binnen Tenable One is de inzet van Tenable Hexa AI. Met deze AI-functionaliteit kunnen securityteams op basis van natuurlijke taal vragen stellen over hun blootstelling en bepaalde werkzaamheden versnellen.

Zo kunnen organisaties bijvoorbeeld vragen om alle systemen te identificeren waarop CVE-2026-109618 of CVE-2026-109619 is aangetroffen. Maar daar stopt het niet. Tenable Hexa AI kan, afhankelijk van de beschikbare functionaliteit en inrichting, ook helpen bij het opzetten van herstelinitiatieven, het bewaken van voortgang en het aanmaken van tickets voor verantwoordelijke teams.

Hiermee kan de tijd tussen het ontdekken van een kwetsbaarheid en het daadwerkelijk organiseren van herstelmaatregelen worden verkort. Dat is vooral waardevol bij kritieke kwetsbaarheden zoals PHP2Shell, waarbij snelheid een belangrijke factor is.

De waarde van AI zit hierbij niet alleen in het sneller vinden van kwetsbaarheden, maar vooral in het versnellen van de opvolging.

Patchen is noodzakelijk, maar controleer ook het resultaat

Voor PHP2Shell zijn inmiddels de volgende beveiligingsversies beschikbaar:

PHP-versie	Beveiligingsupdate
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Voor oudere, niet meer regulier ondersteunde PHP-versies is extra aandacht noodzakelijk. Sommige Linux-distributies en leveranciers bieden beveiligingsupdates via eigen backports, terwijl andere installaties mogelijk moeten worden gemigreerd. Het PHP Security Team benadrukt dat tijdelijke maatregelen geen volledige bescherming bieden. Updaten is de enige betrouwbare structurele oplossing.

Met Tenable Patch Management kunnen organisaties het patchproces ondersteunen, onder andere door benodigde updates te identificeren en herstelprocessen te automatiseren.

Maar minstens zo belangrijk is de controle achteraf.

Is de patch daadwerkelijk geïnstalleerd? Zijn de betrokken PHP-processen opnieuw gestart? Zijn container-images bijgewerkt en opnieuw uitgerold?

Door na het uitvoeren van herstelmaatregelen opnieuw te scannen, kunnen organisaties controleren of de kwetsbaarheden daadwerkelijk zijn verholpen.

Een aangemaakte patchopdracht betekent immers nog niet dat het risico verdwenen is.

Wat kunnen organisaties nu concreet doen?

Om de blootstelling aan PHP2Shell te beperken, adviseren we de volgende aanpak:

1. Inventariseer het volledige aanvalsoppervlak. Identificeer alle systemen en applicaties die gebruikmaken van PHP, inclusief cloudomgevingen, containers en systemen van externe leveranciers.
2. Voer gerichte kwetsbaarheidsscans uit. Controleer op CVE-2026-109618 en CVE-2026-109619 en zorg ervoor dat de gebruikte detectieplugins actueel zijn.
3. Bepaal prioriteiten op basis van daadwerkelijk risico. Geef extra aandacht aan internettoegankelijke systemen, kwetsbare bedrijfskritische applicaties en systemen die toegang hebben tot gevoelige gegevens.
4. Organiseer en volg de herstelmaatregelen. Wijs verantwoordelijken aan, stel passende deadlines vast en zorg dat de voortgang inzichtelijk blijft.
5. Valideer de uitgevoerde updates. Controleer met nieuwe scans of de kwetsbaarheden daadwerkelijk zijn verholpen en onderzoek eventuele resterende blootstelling.
6. Monitor op mogelijke compromittering. Controleer of er aanwijzingen zijn dat aanvallers vóór het installeren van de beveiligingsupdates al misbruik hebben gemaakt van kwetsbare systemen.

Door deze stappen onderdeel te maken van een continu proces, ontstaat een meer structurele aanpak van kwetsbaarheden en digitale risico’s.

Van Vulnerability Management naar Exposure Management

PHP2Shell is een duidelijk voorbeeld van waarom organisaties verder moeten kijken dan traditioneel Vulnerability Management. Een kwetsbaarheid identificeren is belangrijk. Maar uiteindelijk draait cybersecurity om het beschermen van systemen, gegevens en bedrijfsprocessen. Dat vraagt om inzicht in het volledige aanvalsoppervlak, de daadwerkelijke risico’s en de effectiviteit van genomen maatregelen.

Met Exposure Management verschuift de focus van het beheren van lijsten met kwetsbaarheden naar het continu identificeren, prioriteren en verminderen van risico’s. Door deze aanpak te combineren met offensieve securitytesten en continue monitoring vanuit een Security Operations Center (SOC), ontstaat bovendien meer inzicht in de vraag of kwetsbaarheden daadwerkelijk misbruikt kunnen worden en of verdachte activiteiten tijdig worden gesignaleerd.

Hoe kan Access42 helpen?

Bij Access42 helpen we organisaties om de stap te maken van inzicht in kwetsbaarheden naar het daadwerkelijk beheersen van digitale risico’s. Met onze expertise op het gebied van Tenable, Exposure Management, offensieve security en 24/7 SOC-monitoring ondersteunen we organisaties bij het identificeren, prioriteren en verminderen van hun cyberrisico’s.

Of het nu gaat om het optimaal benutten van een bestaande Tenable-omgeving, het uitbreiden naar Tenable One of het verder professionaliseren van het vulnerabilitymanagementproces: we helpen organisaties om beschikbare technologie en dreigingsinformatie effectief in te zetten.

Want de belangrijkste vraag is niet hoeveel kwetsbaarheden je hebt gevonden, maar hoeveel risico je daadwerkelijk hebt weggenomen.

Wil je weten hoe jouw organisatie met Tenable meer grip kan krijgen op kwetsbaarheden zoals PHP2Shell?

Neem contact op met Access42.

Don’t Panic, We’ve got your back.

Bronnen

• Tenable – Discover and Remediate PHP2Shell Exposure with Tenable
• Tenable Research – PHP2Shell: Frequently Asked Questions
• PHP.net – Officiële beveiligingsupdates oktober 2026
• NCSC-NL – Operationele informatie over PHP2Shell

Stand van zaken: 26 oktober 2026. De beschikbaarheid van specifieke Tenable-functionaliteiten is afhankelijk van de gebruikte producten, licenties en configuratie.