PHP2Shell: kritieke lekken in PHP (CVE-2026-109618 en CVE-2026-109619)

Twee lekken in PHP zelf laten een aanvaller code uitvoeren op je server. De patch is uit; update naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35.

Gepubliceerd 21 oktober 2026, bijgewerkt om 16:45

Ernst
Kritiek
CVSS v4.0
9.2
CVE
CVE-2026-109618CVE-2026-109619
Patch
Beschikbaar
Check je PHP-versie

Op 20 oktober kondigde PHP een noodrelease aan voor twee lekken met CVSS-score 9.2. Dezelfde dag lekten details uit, samen met een exploit-tool die PHP2Shell heet. Op 21 oktober om 16:00 kwam de patch. Elke versie daarvoor is kwetsbaar, ook alles ouder dan 8.2.

Het lek zit in PHP zelf, niet in WordPress, Magento of Laravel. Elke site die op PHP draait loopt dus risico. Een beveiligingsplugin houdt de aanval niet tegen, want die draait pas nadat PHP het verzoek al heeft verwerkt.

Check je server

De check draait in je browser; er wordt niets verstuurd.

Waar vind ik mijn PHP-versie?
  • Server: php -v. Let op: de webserver kan een andere versie draaien dan de commandline. Zeker weten: php-fpm8.3 -v of een tijdelijke phpinfo()-pagina (direct weer verwijderen).
  • WordPress: Gereedschap → Sitestatus → Info → Server.
  • Hostingpaneel: zoek naar “PHP-versie” of “Select PHP Version”.
Waar draait je site?

Vul je PHP-versie in

Je ziet dan of je kwetsbaar bent en welke configuratie je nodig hebt.

Status per PHP-versie

Je bent veilig vanaf de versie in de laatste kolom. Let op: Linux-distributies zetten de fix soms in een ouder versienummer (een backport). Kijk dan in de changelog van het pakket naar de CVE-nummers.

ReeksOndersteuningKwetsbaar t/mGepatcht in
8.5 Actief 8.5.11 8.5.12
8.4 Actief 8.4.26 8.4.27
8.3 Alleen security 8.3.35 8.3.36
8.2 Alleen security 8.2.34 8.2.35
Ouder dan 8.2 Geen alle versies geen release

Wat te doen

  1. Zoek uit waar PHP draait. Websites, webshops, testomgevingen en containers. Noteer per server de versie en wie hem beheert.
  2. Update nu. Op shared hosting doet je hoster dat; vraag of het al gebeurd is. Remi’s repository (RHEL, AlmaLinux, Rocky) heeft vandaag nog geen update. Stap dan over op de pakketten van je distributie of bouw PHP zelf.
  3. Upgrade als je 8.1 of ouder draait. PHP brengt daarvoor geen release uit. Er zijn alleen source-backports voor 7.4, 8.0 en 8.1, voor wie PHP zelf compileert. Draait je site op WordPress en wil je van het onderhoud af? Zo stap je over naar een site zonder PHP.
  4. Kun je niet meteen updaten? Beperk het risico. Zet session.upload_progress.enabled uit in de serverconfiguratie, blokkeer multipart/form-data als je site geen uploads gebruikt, en zet een WAF ervoor. Lukt dat allemaal niet, haal de site dan offline, zoals ook het Britse NCSC adviseert. Volgens PHP is updaten de enige volledige oplossing. De check geeft de configuratie voor jouw server.
  5. Controleer daarna op sporen. Nieuwe PHP-bestanden in uploadmappen, onbekende beheerders, nieuwe cronjobs en onverwacht uitgaand verkeer.

Tijdlijn

dinsdag 20 oktober

  1. Op Hacker News verschijnt een bericht over twee aanstaande lekken in PHP.

  2. PHP kondigt een securityrelease aan. watchTowr bevestigt dat de lekken echt zijn.

woensdag 21 oktober

  1. PHP-coreontwikkelaar Gina Peter Banyard: patchen is de enige echte oplossing.

  2. Cloudflare ziet de eerste aanvallen en zet WAF-regels aan voor alle klanten.

  3. De PHP Foundation waarschuwt dat Remi’s repository vandaag geen update publiceert.

  4. Tweakers, de Tweede Kamer, het NCSC en Security.NL gaan uit voorzorg offline.

  5. PHP brengt 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit, met een advisory per lek. Voor 7.4, 8.0 en 8.1 komen alleen source-backports.

Welke servers het meeste risico lopen

  • Apache met mod_php: bij beide lekken heeft PHP aangetoond dat code uitvoeren werkt, zonder inloggen. Dit is de hoogste prioriteit.
  • PHP-FPM (Nginx, de meeste moderne hosting): kwetsbaar, maar er is nog geen volledige exploit gedemonstreerd.
  • FrankenPHP en LiteSpeed: waarschijnlijk kwetsbaar volgens PHP, nog niet bevestigd.

Nog niet bevestigd is of de gelekte tool PHP2Shell doet wat de maker claimt.

Vragen

Helpt de onderhoudsmodus van WordPress of Magento?

Nee. In onderhoudsmodus verwerkt PHP nog steeds elk verzoek, en het lek zit in die verwerking. Wil je een site echt offline halen, stop dan PHP-FPM en laat de webserver een statische pagina tonen.

Ben ik veilig als mijn site achter Cloudflare staat?

Deels. Cloudflare heeft regels tegen de bekende exploits uitgerold, ook voor gratis accounts. Die werken alleen als je server niet rechtstreeks via het IP-adres bereikbaar is, en een nieuwe variant kan erdoorheen komen.

Wordt het lek al misbruikt?

Cloudflare meldde op 21 oktober om 09:43 de eerste aanvallen. Volgens PHP bestaat er een werkende exploit waarbij één verzoek zonder inloggen genoeg is, in elk geval bij Apache met mod_php. Nu de patch uit is, kan iedereen zien wat er is gerepareerd. Sansec verwacht daarom snel grootschalige aanvallen.

Wijzigingen

  • De patch is uit. Gepatchte versies, getroffen SAPI’s en de tijdelijke maatregelen uit de officiële advisory toegevoegd. Instellen via .user.ini helpt volgens PHP niet; dat staat nu in de check.
  • Eerste versie. De patch staat gepland voor 16:00; de versienummers zijn nog niet bekend.

RSS-feed

Bronnen

Hulp nodig?

Weet je niet waar je site draait of wie hem beheert? Stuur ons je domeinnaam, dan zoeken we het uit.

App ons