PHP zero-day exploit: dit is PHP2Shell en dit moeten bedrijven nu doen

In het kort voor het management

Via twee lekken in PHP kan een aanvaller op afstand en zonder in te loggen eigen code uitvoeren op een webserver. Het Nationaal Cyber Security Centrum (NCSC) zegt dat elk systeem met PHP dat vanaf internet bereikbaar is, vermoedelijk kwetsbaar is tot het is bijgewerkt.

Het belangrijkste advies is daarom: installeer de update direct, of houd uw server offline tot de update is doorgevoerd. Zorg dat u vandaag weet op welke systemen uw organisatie PHP gebruikt en wie die bijwerkt of beheert, en dat die systemen direct na de patch worden bijgewerkt.

Waarom elke minuut telt

Zodra de update verschijnt, begint een race tussen verdedigers en aanvallers. ‘Op basis van de vooraankondiging van de update, die weinig details bevatte, lijkt het erop dat enkele groepen al hebben ontdekt hoe dit lek misbruikt kan worden,’ zegt Arnoud Bruinsma, cybersecurityexpert bij BSM. ‘Direct na de update kunnen criminelen de verschillen analyseren. Dan kunnen veel meer groepen de methode om te hacken afleiden en ontwikkelen. Met AI gaat dat tegenwoordig erg snel.’

Ook beveiligingsbedrijf Sansec verwacht massale aanvallen binnen een kwartier na de release. Wie de update laat liggen, loopt dus juist ná de release het grootste risico. Die race is begonnen: op de webservers van BSM liep het aantal aanvalsverzoeken in de middag snel op (zie de grafiek bij de live updates). Installeer de update direct, of houd de server offline tot dat wel kan.

Wat er bekend is

Het gaat om twee lekken met de nummers CVE-2026-109618 en CVE-2026-109619, samen ‘PHP2Shell’ genoemd. Het PHP-beveiligingsteam geeft beide een ernstscore van 9,2 op 10. Eerdere berichten over een 10 kloppen niet. De details lekten op 20 oktober uit voordat er een oplossing was. Daardoor kunnen aanvallers nu met dezelfde kennis aan de slag als verdedigers.

De oplossing zit in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, meldt php.net. Volgens het PHP-beveiligingsteam loopt elke PHP-installatie risico die webverzoeken afhandelt, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het risico is het grootst bij mod_php.

Het lek zit in de manier waarop PHP binnenkomende formulieren en uploads verwerkt, nog voordat de website zelf iets met het verzoek doet. De cybersecurityexperts van BSM bevestigen dat een gewone webfirewall of beveiligingsplugin het daardoor niet altijd kan tegenhouden. Dat schrijft ook beveiligingsbedrijf Sansec. Ook een onderhoudsmodus in WordPress of een webwinkel beschermt niet.

In Nederland hebben veel organisaties uit voorzorg websites offline gehaald, meldt de NOS, waaronder overheidssites, nieuwsmedia en Notubiz, dat vergadersystemen voor ongeveer honderd gemeenten levert. De Europese cyberdienst CERT-EU roept organisaties op de update direct te installeren, en systemen die dat niet kunnen offline te halen of af te schermen.

Wordt het lek al misbruikt?

Ja. De experts van BSM zien actief misbruik: op de eigen webservers werden tussen 14:34 en 17:25 uur 115 aanvalsverzoeken geblokkeerd, met een snel stijgend aantal per uur. Ook Cloudflare en Patchstack meldden al in de ochtend aanvalspogingen. Hoeveel websites daadwerkelijk zijn binnengedrongen, is nog niet bekend.

Wat u nu moet doen

De enige echte oplossing is de update installeren, en die is er nu. Loop deze stappen vandaag met uw IT-afdeling of IT-partner door.

1. Breng in kaart waar PHP draait. Denk niet alleen aan de website, maar ook aan de webwinkel, het klantportaal, het intranet, formulieren en systemen van leveranciers. WordPress, Drupal, Magento en veel maatwerk draaien op PHP.
2. Spreek af wie wat bijwerkt. Bij gedeelde hosting doet de hostingpartij dat meestal. Bij een eigen server of VPS bent u zelf verantwoordelijk. Ga er niet van uit dat automatische updates dit oplossen.
3. Installeer de update nu, of houd de server offline tot dat gebeurd is. Update naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35, of naar de bijgewerkte pakketten van uw Linux-distributie of hostingpartij. Elke minuut telt. Kan een systeem niet direct worden bijgewerkt, haal het dan van internet of scherm het af, zoals ook CERT-EU adviseert.
4. Controleer of er privacygevoelige gegevens op uw websites staan. Verwijder die voordat de servers weer online gaan. Wat niet op de server staat, kan ook niet uitlekken.
5. Controleer daarna op sporen van een inbraak. Let op onbekende beheerdersaccounts, onverwachte PHP-bestanden in uploadmappen, vreemde doorverwijzingen en waarschuwingen van Google of de browser.
6. Ken uw meldplicht. Is een server met persoonsgegevens gehackt, dan geldt dat als datalek. U moet dat binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Alleen kwetsbaar zijn is geen datalek.

Vraag uw IT-partner vandaag drie dingen: op welke systemen PHP draait, welke versie dat is en hoe laat de update is geïnstalleerd. Kan niemand dat beantwoorden, dan is dat op zich al een bevinding voor het management.

Wilt u na de update zeker weten dat uw website niet meer kwetsbaar is, dan kan BSM een pentest van uw website uitvoeren. Vermoedt u dat er al is ingebroken, bel dan direct 020 820 3693 of mail naar info@bsm.nl. Onze specialisten doen ook digitaal forensisch onderzoek.

Draait u PHP 8.1 of ouder?

Dan krijgt u geen gewone update. PHP ondersteunt alleen versie 8.2 tot en met 8.5, blijkt uit het overzicht op php.net. Vanwege de ernst van de lekken heeft het PHP-beveiligingsteam wel minimale bronpatches uitgebracht voor PHP 7.4, 8.0 en 8.1. Die zijn bedoeld voor wie PHP zelf compileert of geen LTS-leverancier heeft.

Voor oudere systemen zijn er drie routes. De beste is zo snel mogelijk overstappen naar een ondersteunde versie, wat bij oude maatwerksoftware wel tijd en testwerk kost. Sommige Linux-distributies en hostingpartijen bieden bijgewerkte pakketten voor oude versies, en wie zelf compileert kan de bronpatches van PHP gebruiken. Lukt dat niet snel, haal het systeem dan van internet of zet het achter een VPN, zoals CERT-EU adviseert.

Kunt u niet direct updaten, dan verkleinen deze tijdelijke maatregelen uit het advies van PHP het risico. Ze maken een server niet veilig en vervangen de update niet.

• Zet session.upload_progress.enabled=0 in php.ini of de FPM-pool en herstart alle PHP-workers. Een instelling via ini_set() of .user.ini werkt niet.
• Houd post_max_size laag: 8M als u geen uploads nodig heeft, 32M als dat wel zo is.
• Gebruikt uw website geen uploads, blokkeer dan multipart-verzoeken op de webserver, zoals BSM op de eigen servers doet (zie de update van 21:10).

Het volledige overzicht staat in de beveiligingsmeldingen van PHP voor CVE-2026-109618 en CVE-2026-109619.

De tweede golf: phishing en malafide patches

Bij elk groot lek volgen criminelen die op de onrust inspelen. Cybersecurityexpert Arnoud Bruinsma van BSM waarschuwt dit keer voor twee soorten aanvallen. De eerste is phishing: mails die zich voordoen als uw hostingpartij of IT-leverancier en om inloggegevens vragen voor een ‘dringende beveiligingsupdate’.

De tweede zijn malafide patches: nep-updates, scripts of ‘snelle oplossingen’ die via mail, forums of onbekende downloadsites rondgaan en in werkelijkheid een achterdeur op uw server installeren. Installeer daarom alleen updates uit een officiële bron, zoals php.net, uw Linux-distributie of uw hostingpartij. Een echte hostingpartij vraagt nooit per mail om uw wachtwoord en stuurt geen patch als bijlage.

Waarschuw vandaag uw medewerkers, vooral wie de website, webwinkel of hosting beheert. De regel is eenvoudig: klik niet op een link en open geen bijlage in een mail over dit lek, maar ga zelf naar de bekende website van de leverancier of bel het nummer dat u al had. Juist dit soort actuele lokmiddelen gebruiken wij in een phishingtest, omdat ze het best laten zien of uw organisatie onder tijdsdruk het eigen protocol volgt.

Live updates

Nieuwste update bovenaan. Alle tijden in Nederlandse tijd.

1. 21 okt, 21:10

   In afwachting van de officiële PHP-beveiligingsupdate, die nog niet via alle pakketbronnen (repositories) beschikbaar is, heeft BSM op de eigen webservers een tijdelijke blokkade ingesteld. Nginx blokkeert HTTP-verzoeken met een multipart-Content-Type direct met HTTP 403, nog voordat ze PHP bereiken. Elke blokkade wordt apart gelogd.

   Resultaat: 115 geblokkeerde verzoeken tussen 14:34 en 17:25, waaronder duidelijke geautomatiseerde scanpatronen. Het aantal liep op van 3 in het uur na 14:00 tot 77 in de eerste 25 minuten na 17:00.

   Dit is een tijdelijke maatregel en geen vervanging voor de officiële patch. Ook legitieme uploads, zoals formulieren met bijlagen, worden hierdoor geblokkeerd.

   * 17:00 – 17:25, gedeeltelijk uur. Dit zijn geblokkeerde verzoeken, geen bevestigde unieke aanvallen.

2. 21 okt, 15:55

   De experts van BSM zien dat er actief misbruik wordt gemaakt van de exploit. Haal servers die u offline heeft gehaald daarom niet weer online om de update te installeren. Houd ze offline totdat de update is doorgevoerd. Installeer de update bijvoorbeeld via de beheerconsole van uw hostingpartij of via een afgeschermde beheerverbinding.

3. 21 okt, 15:34

   PHP brengt de beveiligingsupdate uit, iets eerder dan gepland: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, plus minimale bronpatches voor PHP 7.4, 8.0 en 8.1 (php.net).

4. 21 okt, 13:45

   Eerste versie van dit artikel. Officiële update verwacht om 16:00 uur.

5. 21 okt, 13:03

   NCSC: nog geen actief misbruik gezien; steeds meer sites uit voorzorg offline (NOS).

6. 21 okt, 09:43

   Cloudflare meldt de eerste aanvalspogingen en zet blokkaderegels aan.

7. 20 okt, 22:33

   CERT-EU publiceert advies 2026-018.

8. 20 okt, 17:20

   Details van de lekken lekken uit via een forumbericht.