Wat is er gebeurd
Het PHP-team heeft op 20 oktober 2026 twee kritieke kwetsbaarheden in de kern van PHP aangekondigd: CVE-2026-109618 en CVE-2026-109619, samen PHP2Shell genoemd. Beide krijgen een ernstscore van 9,2. Volgens de berichtgeving kan een aanvaller via deze lekken zonder in te loggen code uitvoeren op een webserver. Details lekten uit voordat de update er was; beveiligingsbedrijf watchTowr bevestigde dat de lekken echt zijn.
Op woensdagmiddag 21 oktober heeft PHP de updates uitgebracht: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. In de uren daarvoor haalden veel Nederlandse organisaties hun websites uit voorzorg offline, waaronder MijnOverheid, de website van DigiD, de Tweede Kamer en het NCSC zelf.
Volgens het FD ziet Cloudflare de eerste aanvalspogingen. Beveiligingsbedrijf watchTowr meldt op 21 oktober misbruik in het wild te zien via zijn netwerk van lokservers, en SecurityWeek bericht over de eerste aanvalspogingen kort na het verschijnen van de updates. Overheidsdiensten als het NCSC en CISA hadden bij hun eerste waarschuwingen nog geen misbruik vastgesteld. Het NCSC adviseert elk PHP-systeem dat vanaf internet bereikbaar is als kwetsbaar te beschouwen totdat het is bijgewerkt.
Bijgewerkt op 22 oktober: MijnOverheid, DigiD en veel andere websites die uit voorzorg offline waren, zijn na het installeren van de update weer bereikbaar. Gezien de meldingen van aanvalspogingen is bijwerken nu dringender dan gisteren.
Wie worden getroffen
PHP draait onder een groot deel van alle websites, waaronder sites op WordPress, Drupal, Joomla en veel webwinkels en klantportalen. Volgens onderzoekers zijn alle versies voor de genoemde updates kwetsbaar.
Alleen de ondersteunde versies PHP 8.2 tot en met 8.5 krijgen een update. Websites op PHP 8.1 of ouder blijven kwetsbaar en moeten worden overgezet naar een ondersteunde versie. Sommige Linuxdistributies brengen mogelijk eigen herstelde pakketten uit voor oudere versies; controleer dat bij uw hostingpartij.
Wat betekent dit voor uw organisatie
Heeft uw organisatie een website, webwinkel of webapplicatie, dan draait die waarschijnlijk op PHP, vaak bij een hostingpartij of webbouwer. U bent dan afhankelijk van hen voor een snelle update. Een overgenomen webserver kan leiden tot een gehackte website, gestolen klantgegevens of een opstap naar andere systemen.
Nu de update openbaar is, kunnen aanvallers die vergelijken met de oude code en zo sneller werkende aanvallen maken. De komende dagen zijn daarom het meest kritiek. Het grootste risico zit bij websites op een verouderde PHP-versie, omdat die geen update krijgen.
Wat kunt u nu doen
- Vraag uw hostingpartij of webbouwer vandaag nog of uw website, webwinkel en andere webapplicaties zijn bijgewerkt naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35.
- Beheert u zelf servers, installeer de update dan direct en herstart de webserver of PHP-FPM, zodat de nieuwe versie echt actief is.
- Draait een site op PHP 8.1 of ouder, plan dan direct een overstap naar een ondersteunde versie of neem de site tijdelijk offline als die niet nodig is.
- Kan een kwetsbare applicatie niet snel worden bijgewerkt, beperk dan de bereikbaarheid vanaf internet, bijvoorbeeld via een webapplicatiefirewall of door toegang alleen voor bekende IP-adressen toe te staan.
- Houd de komende dagen de logbestanden van uw webserver in de gaten op ongebruikelijke uploads, nieuwe bestanden in de webmap en onverwachte processen.
- Zorg dat u een recente back-up van website en database hebt die los van de webserver staat, zodat u na een inbraak schoon kunt herstellen.