PHP2Shell: Kritieke PHP-fouten veroorzaken wereldwijde patchrush en websiteafsluitingen

Op 21 oktober 2026 bracht het PHP-project noodupdates uit – versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 – om twee kritieke beveiligingsfouten te repareren die beveiligingsonderzoekers en leveranciers "PHP2Shell" hebben genoemd, volgens Help Net Security en het Canadian Centre for Cyber Security. De fouten worden bijgehouden als CVE-2026-109618 en CVE-2026-109619, beide beschreven als kritieke ernst; de bronnen die voor dit artikel werden gecontroleerd, noemden geen officiële numerieke CVSS-score.

Wat doet de kwetsbaarheid

Beide fouten zijn geheugenhuishoudings-bugs in de manier waarop PHP verzoeken verwerkt onder abnormale omstandigheden, volgens Bleeping Computer en Help Net Security. CVE-2026-109618 treedt op wanneer een out-of-memory-fout PHP onderbreekt terwijl interne verzoekgegevens slechts gedeeltelijk zijn ingesteld, dus opschoningsroutines behandelen die onvolledige gegevens later als geldig. CVE-2026-109619 is een obsolete-state-fout: geheugen gekoppeld aan één verzoek kan worden vrijgegeven en vervolgens opnieuw worden gebruikt door een later verzoek op dezelfde worker voordat het correct wordt ingesteld, wat gegevensblootstelling of code-uitvoering kan veroorzaken.

Het Canadian Centre for Cyber Security klassificeerde beide als Use-After-Free-kwetsbaarheden (CWE-416) en stelde dat een succesvolle aanval een niet-geverifieerde aanvaller in staat stelt willekeurige code op de server uit te voeren, zonder wachtwoord of enige actie van een gebruiker. Het agentschap stelde dat mod_php-implementaties het hoogste risico met zich meebrengen, aangezien een aangetoond exploit de bug kan activeren voordat applicatiecode de kans krijgt uit te voeren – een beschrijving die ook door het PHP-beveiligingsteam wordt gebruikt, zoals gerapporteerd door Bleeping Computer.

De bug treft elke PHP-installatie die webverzoeken bedient, inclusief PHP-FPM, Apache's mod_php, php-cgi, FrankenPHP en LiteSpeed, volgens Bleeping Computer en de Canadese adviezen. De onderliggende code bestond meer dan tien jaar in PHP, zoals Fortune rapporteert, hoewel officiële fixes werden uitgebracht voor de actief ondersteunde branches 8.2–8.5, met source-level backports beschikbaar voor 7.4 tot 8.1, die hun end-of-life-ondersteuningsdatums hebben overschreden.

Hoe het werd gevonden en waarom AI hier belangrijk is

Volgens Fortune bestond de foutieve code meer dan tien jaar in PHP, maar drie afzonderlijke partijen convergeerden er in augustus 2026 op: beveiligingsbedrijf Wiz, een bedrijf genaamd Calif, en OpenAI, werkend met de PHP Foundation aan een fix en gecoördineerde openbaarmaking. Fortune rapporteerde dat Wiz AI-modellen gebruikte, inclusief OpenAI's GPT-5.6 Sol en Google's Gemini 4 Argon, om de zwakheid te begrijpen en om te zetten in een werkende exploit. Wiz vertelde Fortune dat het geval een verschuiving vertegenwoordigde die door AI werd aangedreven, stellende dat hoewel de kwetsbare code meer dan tien jaar bestond, wat veranderde was het vermogen van onderzoekers om AI te gebruiken om de zwakheden te begrijpen en ze om te zetten in een werkende exploit.

Fortune rapporteerde ook dat OpenAI in zijn eigen verklaring zei dat het incident aantoonde hoe AI kan helpen beveiligingsgebreken met internet-brede impact te ontdekken, terwijl erkend wordt dat dezelfde AI-mogelijkheden aanvallers ook kunnen helpen offensieve tools en exploits sneller te ontwikkelen.

Exploitatiepogingen en Cloudflares snelle respons

Cloudflare zei op zijn eigen blog dat het Web Application Firewall-regels activeerde om 03:02 UTC op 21 oktober, wat het beschreef als ongeveer negen uur voordat de kwetsbaarheden openbaar werden gemaakt. Het bedrijf lanceerde zeven "Generieke regels – Anomale uitvoering" voor klanten op het gratis plan en een afzonderlijke reeks van zeven gelijkwaardige regels voor betaalde plannen, plus één extra regel die zowel het verzoek als het antwoord in dezelfde transactie controleert, volgens Cloudflares bericht zoals samengevat door ppc.land. Diezelfde bericht zei dat Cloudflare waarnamen dat aanvallers hun exploit-payloads daarna wijzigden in een poging om de nieuwe regels te omzeilen, hoewel het geen exacte getallen voor aanvalsvolume publiceerde.

Afzonderlijk zei het Threat Intelligence-team van Amazon dat het exploitatiepogingen tegen de fouten vanaf 17 oktober 2026 had gedetecteerd – vier dagen voordat de openbare patch kwam – volgens Bleeping Computer, wat suggereert dat sommige bedreigende actoren vóór algemene openbaarmaking toegang hadden tot exploitdetails. Daarentegen stelde het advisory van het Canadian Centre for Cyber Security dat het op het moment dat het werd geschreven geen actieve exploitatie had geïdentificeerd, terwijl het waarschuwde dat de situatie snel kon veranderen. De twee beoordelingen weerspiegelen verschillende observatiepunten en timing in plaats van een feitelijke tegenspraak.

Japan: regering eist patch of afsluiting

De kwetsbaarheid trok bijzonder intens aandacht in Japan. Japan's National Cybersecurity Office, een opvolgerorgaan van NISC dat in juli 2025 werd gereorganiseerd, gaf een advisory uit die exploitanten opriep te controleren of hun websites PHP uitvoeren en snel in te grijpen, volgens een BigGo Finance-rapport over de verklaring van het agentschap. Premier Sanae Takaichi plaatste op X en noemde het "een dringende verzoek voor iedereen om vanavond te reageren," en zei dat het tijdelijk opschorten van een website een effectieve manier kon zijn om risico's te verminderen als onmiddellijke patching niet mogelijk was, zoals BigGo Finance rapporteerde.

Volgend deze richtlijnen, gingen verschillende Japanse online services in de nacht van 21 oktober in noodonderhoud, inclusief kinderopvangplatform CoDMON, het kaartspel Shadowverse: Worlds Beyond, online shopbouwer BASE en hostingprovider Sakura Internet, volgens het BigGo Finance-rapport. PHP's officiële patches werden rond 22:40 uur Japan-tijd uitgebracht, voorafgaand aan een aanvankelijk aangekondigd doel van 23:00 uur, zoals hetzelfde rapport zei.

Afzonderlijk rapporteerde Internet Watch (Impress) dat Japanse communicatieprovider Baltec ongeveer 23 services opschort – met cloud, reservering, verkooppunt en kostenbeheertools – na het detecteren van ongeautoriseerde toegang met mogelijke blootstelling van persoonlijke gegevens. Baltec schreef het incident aanvankelijk toe aan een cyberaanval gericht op een PHP-kwetsbaarheid, maar het bedrijf gaf dezelfde dag een correctie uit stellende dat de werkelijke oorzaak een kwetsbaarheid in zijn eigen service was, niet de PHP-fout, nadat het zei dat het de twee problemen had verward bij het herzien van zijn PHP-gerelateerde beveiligingsmaatregelen. Baltec richtte service-herstel in op 26 oktober, aldus Internet Watch.

Omvang van blootstelling

PHP drijft een geschatte 70% van wereldwijde websites, inclusief WordPress-sites, Wikipedia, Microsoft.com en Archive.org, aldus Fortune, stellende dat ongeveer 40% van alle websites op WordPress draait, dat zelf afhankelijk is van PHP. Fortune citeerde ook een initiële scan die 22,6 miljoen potentieel kwetsbare PHP-instanties identificeerde die aan het internet zijn blootgesteld.

Wat nog steeds onbekend is

Volgens de beschikbare rapportage bevestigt geen bron een succesvolle grootschalige inbreuk rechtstreeks veroorzaakt door PHP2Shell-exploitatie, in tegenstelling tot voorzorgsmaatregel-afsluitingen. Getallen over totale exploitatiepogingen variëren per bron en meetvenster: de CEO van Cloudflare werd aangehaald in Japanse berichtgeving via Yahoo! News als beschrijving van pognstijgingen van duizenden voorafgaand aan openbaarmaking naar tienduizenden binnen 45 minuten en honderdduizenden bereikend binnen twee uur, met totalen beschreven als miljoenen bereikend op het moment van dat rapport; Cloudflares eigen blogpost herhaalde deze specifieke getallen niet. Lezers zouden precieze getallen voor aanvalsvolume als voorlopig en onderhevig aan herziening door de organisaties die ze volgen moeten behandelen.