Kort gezegd: Een week na de eerste waargenomen aanvalspoging is PHP2Shell actueel vooral een kwestie van uitvoering: patches voor PHP 8.2 tot en met 8.5 zijn er sinds 21 oktober, grote distributies hebben gevolgd, het BSI waarschuwt met niveau Oranje. Aanvalspogingen zijn waargenomen, bevestigde geslaagde aanvallen op grote schaal meldde het BSI aanvankelijk niet. Open blijven oude versies, niet-herstarte servers en de vraag wat er vóór de patch is gebeurd.
De situatie in drie zinnen
PHP2Shell zijn twee kritieke lekken in de PHP-interpreter zelf, CVE-2026-109618 en CVE-2026-109619, elk beoordeeld met CVSS v4.0 9.2. Ze maken code-uitvoering op afstand zonder aanmelding mogelijk, dus het geval dat beveiligingsmensen het meest vrezen. Getroffen zijn PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed; het hoogste risico ziet het PHP-team bij mod_php.
Dit overzicht rangschikt de stand op 25 oktober 2026 naar actoren. Het verloop dag voor dag vindt u in de PHP2Shell-chronologie, hier gaat het om het totaalbeeld.
Wat er na een week vaststaat
Vaststaan de opgaven van het PHP-project: de releases 8.5.12, 8.4.27, 8.3.36 en 8.2.35 van 21 oktober dichten beide lekken. Voor PHP 7.4, 8.0 en 8.1 zijn er alleen minimale broncode-backports, geen officiële releases. php.net benadrukt dat er geen volledige tussentijdse maatregelen bestaan en dat de update de enige veilige weg is.
Op 23 oktober kwam een aanwijzing over CVE-2026-115560 erbij. Die betreft alleen een ongebruikelijke sessieconfiguratie; als oplossing noemt php.net session.upload_progress.enabled=0 tot de volgende reguliere bugfixrelease.
Ook de grote distributies hebben positie gekozen. Wij hebben de officiële meldingen gecontroleerd:
| Aanbieder | Stand volgens officiële melding |
|---|---|
| Ubuntu | USN-8948-1 voor 22.04, 24.04, 26.04 en 26.10; USN-8948-2 voor 14.04 tot 20.04 via Ubuntu Pro |
| Debian | Gecorrigeerde pakketten voor bookworm (php8.2, DLA-4848-1) en trixie (php8.4, DSA-6574-1) |
| Red Hat | Bulletin RHSB-2026-013 voor RHEL 7 tot 10; enkele updates beschikbaar, andere in bewerking |
Red Hat deelt CVE-2026-109618 met een eigen beoordeling in als „Important” en motiveert dat met een hogere aanvalscomplexiteit. Dat is een andere beoordelingsmethode dan die van het PHP-project en geen reden de update uit te stellen.
Hoe overheden de situatie beoordelen
Het BSI (de Duitse federale dienst voor informatiebeveiliging) heeft waarschuwingsniveau 3 / Oranje uitgeroepen. Het adviseert de directe update en, als die niet meteen kan, de getroffen webservers tijdelijk van het net te halen. Het BSI rekende op snel grootschalig misbruik. Wat de indeling betekent, legt de pagina Wat het BSI over PHP2Shell adviseert uit.
Volgens berichten acht CERT-EU het mogelijk dat versies vanaf PHP 5 getroffen zijn, en adviseert het openbaar bereikbare toepassingen te isoleren als ze niet tijdig kunnen worden gepatcht. CERT-Bund en het beveiligingsbedrijf Huntress hebben eveneens gewaarschuwd.
Het advies om desnoods uit te schakelen, is zichtbaar opgevolgd. Volgens mediaberichten haalde de stad Mainz haar centrale webportaal preventief van het net; gemeentelijke diensten bleven per telefoon en e-mail bereikbaar. In Hessen waren volgens hessenschau sites van de deelstaatregering, van het BKA (de Duitse federale recherche) en van de steden Kassel en Wiesbaden tijdelijk offline. De Staatskanzlei meldde geen aanval, de sites waren 's avonds weer bereikbaar. Andere gemeenten, hogescholen en klinieken handelden volgens berichten vergelijkbaar.
Wat over aanvallen bekend is
Hier is de scheiding tussen waarneming en bevestiging bijzonder belangrijk.
- Waargenomen: Volgens mediaberichten was er op 17 oktober een eerste aanvalspoging, die Amazon waarnam. Cloudflare en Patchstack meldden aanvalspogingen; Cloudflare zag bovendien veranderde aanvalspatronen.
- Nagebootst: watchTowr heeft CVE-2026-109618 volgens berichten naar eigen zeggen nagebootst.
- Niet bevestigd: Het BSI meldde aanvankelijk geen bevestigd geslaagd misbruik op grote schaal. Huntress zag op het moment van zijn melding geen aanvallen in partneromgevingen.
- Onbekend: Er zijn geen gepubliceerde, bevestigde Indicators of Compromise. Wie wil controleren of een server getroffen is, moet letten op gedragspatronen.
Over de omvang circuleren twee cijfers. De onderzoekers van Unit 42 bij Palo Alto Networks kwamen op meer dan 22,6 miljoen potentieel kwetsbare instanties die vanaf het net bereikbaar zijn. CybelAngel noemt ongeveer 2,24 miljoen bereikbare PHP-hosts, waarvan volgens eigen analyse 59 procent op versies zonder komende officiële fix. Beide meten verschillende dingen en zijn niet rechtstreeks vergelijkbaar. Een duiding biedt de bijdrage Cijfers juist inschatten.
Wat er nog openstaat
Drie vragen bepalen de komende weken:
- Oude versies: Een groot deel van de bereikbare PHP-installaties draait volgens de genoemde analyses op takken zonder officiële fix. Of commerciële langetermijnaanbiedingen PHP2Shell afdekken, moet telkens schriftelijk door de aanbieder worden bevestigd.
- Onvolledige updates: Nieuwe pakketten werken pas als alle PHP-processen zijn herstart. Red Hat wijst er uitdrukkelijk op dat een eenvoudige reload niet volstaat.
- De tijd vóór de patch: Tussen 17 en 21 oktober waren servers kwetsbaar terwijl er al aanvalspogingen liepen. Een patch bewijst niet dat er in die tijd niets is gebeurd.
Bewaar webserver- en PHP-logs vanaf 20 oktober, zoals de vakpers aanraadt. Zonder logs is de belangrijkste openstaande vraag voor uw server later niet meer te beantwoorden.
Wat beheerders nu moeten controleren
Voor de eigen beoordeling van de situatie volstaan vier controlepunten per server: Is PHP op een verholpen stand of een bevestigde backport? Draaien alle processen sinds de update? Is session.upload_progress.enabled aan de serverzijde uitgeschakeld zolang het advisory over CVE-2026-115560 nog uitstaat? Zijn er bijzonderheden sinds 17 oktober?
Voor het laatste punt helpt de pagina Ben ik al gecompromitteerd?. Een webserverproces dat een shell start, nieuwe PHP-bestanden in uploadmappen, onbekende cronjobs of SSH-sleutels zijn waarschuwingssignalen die een nader onderzoek rechtvaardigen.
Hoe helpt PHP SOS concreet?
- Wij beoordelen de patchstatus van elke server aan de hand van pakketstatus, changelog en starttijden van processen.
- Waar geen patch beschikbaar is, stellen wij de tussentijdse maatregelen van php.net in en regelen de weg naar de ondersteunde versie.
- Wij stellen logs vanaf 20 oktober veilig en zoeken naar sporen uit de tijd vóór de patch.
- Met de PHP2Shell-noodhulp bundelen wij deze stappen voor bedrijven die snel duidelijkheid nodig hebben.
Veelgestelde vragen
Wordt PHP2Shell al actief misbruikt?
Cloudflare en Patchstack meldden aanvalspogingen. Bevestigde geslaagde aanvallen op grote schaal meldde het BSI aanvankelijk niet. Huntress zag op het moment van zijn melding geen aanvallen in partneromgevingen.
Is het gevaar na de patches voorbij?
Nee. De patches beschermen alleen servers die ze hebben geïnstalleerd en waarvan alle PHP-processen zijn herstart. Systemen op PHP 8.1 en ouder blijven zonder bevestigde backport kwetsbaar, en een patch verwijdert geen eerder binnengebrachte schadelijke software.
Waarom waren overheidswebsites offline?
Volgens mediaberichten hebben onder meer de stad Mainz en meerdere instanties in Hessen hun websites preventief uitgeschakeld. Dat komt overeen met het BSI-advies voor servers die niet direct kunnen worden bijgewerkt. Een uitschakeling betekent niet dat er een aanval heeft plaatsgevonden.
Zijn er herkenningskenmerken voor een PHP2Shell-aanval?
Gepubliceerde, bevestigde Indicators of Compromise bestaan tot nu toe niet. De herkenning berust op gedragsanalyse, bijvoorbeeld op PHP-processen die een shell starten of op nieuwe PHP-bestanden in uploadmappen.