Twee kritieke PHP-fouten genaamd "PHP2Shell" bloten het grootste deel van het web bloot

Op 21 oktober 2026 gaf het PHP-project gepatched versies van de taal uit nadat beveiligingsonderzoekers twee kritieke remote-code-execution-kwetsbaarheden met de verzamelde bijnaam "PHP2Shell" onthulden. De zwakke punten, aangeduid als CVE-2026-109618 en CVE-2026-109619, werden gevonden door het cloud-beveiligingsbedrijf Wiz Research, dat de organisaties Calif en OpenAI erkende voor hun bijdrage aan ontdekking, coördinatie en patchverificatie, volgens Wiz' openbare uitleg.

Wat doen de twee kwetsbaarheden

Wiz zegt dat de twee CVE's eigenlijk vier verschillende onderliggende bugs bundelen. CVE-2026-109618 behandelt een use-after-free fout in PHP's session upload-progress unserializer, die kan worden misbruikt voor remote code execution, plus een gerelateerde bug die geheugen kan uitstorten van een draaiend PHP worker-proces zonder authenticatie. CVE-2026-109619 behandelt een use-after-free in PHP's fatal-error backtrace handling en een apart type-confusion fout in OPcache, PHP's shared-memory bytecode cache.

Volgens Wiz bevinden beide problemen zich in codepaden die bijna elk PHP-verzoek passeert: geheugenbeheer en foutafhandeling. De PHP Foundation maakte hetzelfde punt in opmerkingen gerapporteerd door het outlet SecurityWeek.

Ontdekkingstijdlijn

Het onderzoeksteam van Wiz – genoemd in zijn blogbericht als Sagi Tzadik, Shir Tamari, Nir Ohfeld en Tomer Schwartz – zegt dat het de eerste bug op 19 augustus 2026 vond en werkende remote-code-execution exploits tegen WordPress- en Drupal-installaties in de volgende twee dagen bevestigde. Het team rapporteerde zijn bevindingen aan het PHP-beveiligingsteam op 24 augustus 2026. Openbare openbaarmaking en de overeenkomstige patches volgden op 21 oktober 2026.

Wiz zegt dat het AI-codemodellen gebruikte, inclusief Google's Gemini 4 Argon en OpenAI's GPT-5.6 Sol, om proof-of-concept exploits te helpen bouwen, beschrijvend werk dat eerder maanden voor specialistische onderzoekers zou hebben genomen als bereikbaar in uren.

Wie wordt getroffen

Wiz stelt dat de onderliggende fouten in elke PHP-versie voorkomen die ongeveer het afgelopen decennium is uitgebracht, met minstens een van de twee CVE's aanwezig vanaf PHP 5.4. Het bedrijf zegt dat het niet-geverifieerde remote code execution tegen huidige versies van drie veel gebruikte content management systems heeft bevestigd: WordPress, Drupal en Joomla. SecurityWeek rapporteert dat de bugs veelgebruikte PHP-implementatiemethoden beïnvloeden, inclusief PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed.

Wiz stelt de schaal van blootstelling voor als het treffen van ongeveer 70% van het Internet, een verwijzing naar het aandeel van websites dat PHP in enige vorm gebruikt, volgens de rapportage van het bedrijf.

Exploitatiepogingen sinds openbaarmaking

Meerdere beveiligingsbedrijven controleerden aanvalsverkeer rond de openbaarmaking. SecurityWeek rapporteert dat het bedrijf watchTowr de eerste exploitatiepogingen in het wild rond het moment dat patches landen detecteerde, maar geen succesvol compromis had bevestigd. Hadrian vertelde SecurityWeek dat het grootschalige exploitatiepogingen had waargenomen voordat de patches zelfs waren uitgebracht, geconcentreerd op PHP's session upload-progress codepaden. Patchstack, Cloudflare en Vega registreerden pogingen op de dag van openbaarmaking, en Amazon zei dat het exploitatiepogingen vier dagen voordat de patches werden uitgebracht had geïdentificeerd.

Waarom PHP's schaal dit significant maakt

PHP werd gemaakt door Deens-Canadese programmeur Rasmus Lerdorf, voor het eerst uitgebracht in 1995, en blijft een van de meest gebruikte server-side scripting languages voor het bouwen van websites, volgens Wikipedia. Dezelfde bron merkt op dat vanaf november 2025 meer dan de helft van de PHP-aangedreven websites nog steeds de niet-ondersteunde PHP 7-branch gebruikte, en ongeveer 9,7% was nog steeds op PHP 5, dat jaren eerder werd stopgezet – een legacy-softwarepatroon dat beveiligingsonderzoekers zeggen dat snelle patching in het bredere PHP-ecosysteem bemoeilijkt.