PHP2Shell: de twee kritieke PHP-fouten die overheden offline dwongen

PHP2Shell is een bijnaam voor twee beveiligingsproblemen in de PHP-programmeertaal zelf, niet in een enkele website of app. Ze worden bijgehouden als CVE-2026-109618 en CVE-2026-109619, en PHP's eigen beveiligingsteam gaf beide een score van 9,2 op 10 op de CVSS v4.0-schaal, zijn 'kritieke' categorie, volgens de officiële 2026-archivpagina van het PHP-project.

Wat doen de twee fouten eigenlijk

Volgens PHP's eigen advisering wordt CVE-2026-109618 geactiveerd wanneer PHP onvoldoende geheugen heeft terwijl het een webaanvraag verwerkt. De geheugentekortvergissing kan PHP onderbreken voordat interne aanvraaggegevens volledig zijn ingesteld, en het schoonmaakproces dat volgt, kan die onvolledig gegevens behandelen als geldig, wat kan leiden tot geheugenverrotting en externe code-uitvoering.

CVE-2026-109619 wordt door PHP beschreven als een 'oud globaal toestand'-bug: gegevens gekoppeld aan een bezoeker's aanvraag kunnen in het geheugen van een server blijven nadat ze zouden moeten zijn gewist, en de volgende aanvraag van een bezoeker afgehandeld door hetzelfde worker-proces, kan eindigen op deze resten. Het beveiligingsbedrijf watchTowr, dat een wereldwijd netwerk van bewakingssystemen exploiteert, zei dat beide bugs een aanvaller in staat stellen code uit te voeren zonder inloggen vereist, voordat de code van een website zelfs maar begint uit te voeren.

Het Nederlandse beveiligingsbedrijf Sansec voegde verdere technische details toe en zei dat één van de exploitatiewegen door PHP's sessie-'uploadfortgang'-functie loopt en gegevens zoals wachtwoorden, API-sleutels en versleutelingssleutels kan blootleggen die in het geheugen van een server van andere, niet-gerelateerde aanvragen aanwezig waren.

Waarom waren zoveel websites blootgesteld

De bugs zitten in de PHP-engine, dus elke website of app gebouwd met PHP is potentieel blootgesteld, ongeacht welk contentsysteem erop draait. Dit omvat wijd gebruikte platforms zoals WordPress, Drupal, Joomla, Magento en Nextcloud, volgens Sansec. PHP blijft een van de meest gebruikte server-side programmeertalen op het web, wat één reden is waarom de fouten werden behandeld als een breed, grootschalig risico.

Beveiligingsonderzoekers bij Wiz identificeerden de fouten, en Help Net Security meldde dat de onderzoekers zeiden dat vooruitgang in frontier AI-tools de technische barrière voor het omzetten van een lang bekend, moeilijk uit te buiten geheugenverwerkingsprobleem in een werkende exploit aanzienlijk hebben verlaagd.

Waarom overheden sites offline haalden

Technische details van de fouten kwamen uit voordat PHP's officiële patch klaar was, wat het gebruikelijke voordeel dat verdedigers krijgen voordat een fix openbaar wordt, verkort. Security blog Safeguard meldde dat Nederland op 21 oktober 2026 diensten offline haalde, inclusief de website van zijn eigen nationaal cyberveiligheidscentrum, Overheid.nl, de website van de Tweede Kamer en diverse ziekenhuizen en politieke partijsites als voorzorgsmaatregel. Finland's staatliche IT-provider Valtori haalde regeringsnetzwerkdiensten offline als voorzorgsmaatregel, en Denemarken's gemeentelijke IT-bedrijf Kombit sloot verschillende diensten af, inclusief een nationaal schoolcommunicatieplatform. Frankrijks ministerie van Binnenlandse Zaken haalde tijdelijk prefectuurs- en lokale administratiefsites offline en zei dat het op het PHP-fix wachtte. Duitslands federale IT-provider ITZBund en Belgïes ministerie van Buitenlandse Zaken haalden ook sites offline, hoewel Safeguard meldde dat ze verschillende redenen gaven: ITZBund zei geen beveiligingsincidenten te kennen, terwijl Belgïes ministerie van Buitenlandse Zaken melding maakte van aanvalsrapporten.

watchTowr zei dat zijn honeypot-netwerk, Attacker Eye, real-world exploitatiepoging opnam vanaf 21 oktober 2026, één dag na het lek en dezelfde dag waarop PHP zijn fix publiceerde.

De twee fouten vergeleken

Hoe uw site en uw gegevens te beschermen

1. Als u een website op PHP uitvoert: voer een upgrade uit naar een gerepareerde versie — PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 — en start daarna alle PHP worker-processen opnieuw op, aangezien PHP's advisering en runZero benadrukken dat upgraden de enige volledige fix is.
2. Als u zich nog op PHP 7.4, 8.0 of 8.1 bevindt, die niet langer officiële updates ontvangen, verkrijg een backported beveiligingspatch van uw Linux-distributie of hostingprovider, aangezien het PHP-project deze takken niet langer onderhoudt, volgens de PHP-archivpagina.
3. Tot u patches kunt toepassen, raadt runZero interim-stappen op server- of proxy-niveau aan: beperk geheugenlimieten zodat toepassingen deze niet kunnen opheffen, dwing lage aanvraaggrootte- en multipart-uploadlimieten af, en schakel de session-'uploadfortgang'-functie uit.
4. Controleer uw webservertoegangslogboeken op ongewone multipart/form-data POST-verzoeken, die Sansec zegt gebruikelijk zijn voor bekende exploitatiepoging, en let op onverwachte PHP-geheugenpieken of fatale fouten.
5. Als alledaagse internetgebruiker kunt u servers die u niet beheert niet patchen, maar u kunt alerteringen over datalekken van diensten die u gebruikt in het oog houden, een uniek wachtwoord voor elk account gebruiken en twee-factor-authenticatie inschakelen zodat een gelekt wachtwoord alleen niet genoeg is voor toegang tot uw accounts.

Wat blijft nog onduidelijk

Op het moment van de herziene verslaglegging was er onenigheid onder deskundigen over hoe wijdverspreid actieve exploitatie al was op het moment dat verschillende overheden besloten sites offline te halen; Safeguard meldde dat de Nederlandse regering zei geen tekenen van actieve exploitatie te hebben gehad toen het handelde, terwijl watchTowr afzonderlijk echte aanvalspoging tegen zijn honeypots de volgende dag bevestigde.