Kort gezegd: PHP draait niet alleen op webservers, maar ook in webinterfaces van NAS-systemen, firewalls en vakapparatuur of in webserverpakketten die u op een NAS hebt geïnstalleerd. Of een apparaat door PHP2Shell is getroffen, kan alleen de fabrikant zeggen; de update komt via de firmware. Uw taak is deze apparaten te vinden, hun webinterfaces van internet te halen en de meldingen van de fabrikant te volgen.
Waarom apparaten met een webinterface bij de PHP-vraag horen
Als er over PHP2Shell wordt gesproken, denken de meesten aan de bedrijfswebsite of de webshop. PHP zit echter ook in apparaten die niemand als webserver beschouwt. Ze staan in de serverruimte of op kantoor, hebben een webinterface voor beheer en draaien vaak jarenlang zonder aandacht.
De lekken CVE-2026-109618 en CVE-2026-109619 treffen volgens php.net PHP zelf in de bedrijfsmodi PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Gebruikt de webinterface van een apparaat een van die bedrijfsmodi met een kwetsbare versie, dan geldt het risico daar net zo. Het verschil: u kunt PHP op het apparaat in de regel niet zelf bijwerken.
Dat zulke systemen worden vergeten, heeft concrete redenen. Vaak heeft een dienstverlener ze ingericht die allang niet meer beheert. Firmware-updates lopen niet automatisch, maar vragen een klik die niemand doet. En sommige apparaten brengen handige functies voor toegang op afstand mee, die de webinterface zonder medeweten van de IT vanaf internet bereikbaar maken. Bij een PHP-beveiligingslek zoals PHP2Shell wordt uit dat gemak een risico.
PHP-beveiligingslek op NAS en appliances: welke systemen in aanmerking komen
Wij noemen hier soorten apparaten, geen uitspraak over afzonderlijke modellen. Of een bepaalde firmware is getroffen, staat uitsluitend in de meldingen van de fabrikant.
| Soort apparaat | Hoe PHP in het spel komt | Wie werkt bij |
|---|---|---|
| NAS met webserverpakket | U draait eigen PHP-websites of apps op de NAS | Fabrikant levert het PHP-pakket, u speelt het in |
| Firewall- en routerdistributies | Delen van de beheerinterface zijn in PHP geschreven | Fabrikant via firmware |
| Vakapparatuur met webinterface | bijv. telefooncentrales, tijdregistratie, gebouwtechniek, voor zover de fabrikant PHP gebruikt | Fabrikant of vakhandel |
| Virtuele appliances | voorgeconfigureerde VM's met eigen webinterface | Fabrikant via update-image |
| Containers op de NAS | PHP-toepassingen in Docker-containers | U, via een nieuwe image |
Twee onderbouwde voorbeelden: Synology laat in Web Station PHP-websites met kiesbare PHP-profielen draaien en heeft het einde van de ondersteuning voor PHP 7.3, 7.4 en 8.0 onder DSM 7.3 aangekondigd. De beveiligingsmeldingen van Netgate over pfSense beschrijven PHP-bestanden en PHP-foutmeldingen van de webinterface. Dat toont alleen dat PHP daar voorkomt, niet dat deze producten door PHP2Shell zijn getroffen.
Inventaris: zo vindt u de vergeten systemen
De belangrijkste stap is een lijst. Veel bedrijven weten precies welke websites ze draaien, maar niet welke apparaten een webinterface hebben. Hoe een blijvende inventaris eruitziet, beschrijft het artikel Inventaris van alle websites en servers.
- Netwerk in kaart brengen: Apparaten uit de DHCP-lijst en het overzicht van switch of firewall bijeenbrengen.
- Webinterfaces markeren: Bij elk apparaat noteren of het via HTTP of HTTPS wordt beheerd.
- Vrijgaven controleren: Poortdoorsturingen en diensten voor toegang op afstand in de router opsommen. Elke webinterface die vanaf internet bereikbaar is, komt bovenaan.
- Fabrikant toewijzen: Model, firmwarestand en link naar de beveiligingsmeldingen van de fabrikant vastleggen.
- Eigen diensten vastleggen: Op NAS-systemen geïnstalleerde webserverpakketten en containers apart vermelden.
Een eerste aanwijzing is te verkrijgen met een onschuldige opvraging van de headers. De opdracht haalt alleen de startpagina op en wijzigt niets:
# Server-headers van een webinterface tonen (adres als voorbeeld)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Staat daar een PHP-aanwijzing, dan is dat een aanknopingspunt. Ontbreekt die, dan bewijst dat niets, want veel apparaten onderdrukken dergelijke gegevens bewust.
Wat u kunt doen als u niet zelf kunt patchen
Bij apparaten ligt de patch bij de fabrikant. De bereikbaarheid ligt bij u, en juist daar zit de grootste hefboom. Het BSI (de Duitse federale dienst voor informatiebeveiliging) adviseert bij PHP2Shell webservers zonder update tijdelijk van het net te halen; voor beheerinterfaces van apparaten geldt dat naar analogie des te meer.
- Van internet halen: Poortdoorsturingen naar webinterfaces verwijderen en toegang op afstand alleen via VPN toestaan.
- Beheernetwerk scheiden: Webinterfaces alleen bereikbaar maken vanuit een eigen netwerksegment voor beheerders. Achtergronden daarbij in het artikel Beheergedeelten afschermen.
- Ongebruikte onderdelen uitschakelen: Webserverpakketten of apps op de NAS deactiveren die niemand meer nodig heeft.
- Firmwaremeldingen volgen: Updatemeldingen activeren en updates tijdig inspelen zodra de fabrikant ze vrijgeeft.
- Oude apparaten vervangen: Apparaten zonder ondersteuning van de fabrikant niet meer vanaf internet bereikbaar laten draaien en de vervanging plannen.
Draait u op een NAS eigen PHP-websites, dan geldt voor die websites hetzelfde als voor elke webserver: versie controleren, pakket bijwerken, service herstarten. De basis van het lek legt Wat is PHP2Shell? uit.
Als een apparaat open op het netwerk stond
Was een webinterface tussen 17 en 21 oktober vanaf internet bereikbaar en is het apparaat getroffen, dan moet u het niet alleen bijwerken. Controleer of accounts, shares of doorverwijzingen zijn gewijzigd, bewaar beschikbare logs en wijzig de toegangsgegevens. Een apparaat dat met een aanvaller op het netwerk zat, kan als springplank naar andere systemen dienen.
Bij firewalls en routers is dat extra gevoelig, omdat ze al het dataverkeer zien. In geval van twijfel is terugzetten naar fabrieksinstellingen met een schone herconfiguratie betrouwbaarder dan het zoeken naar afzonderlijke sporen; vooraf moeten logs en configuratie zijn veiliggesteld.
Bij een NAS komt de vraag naar de data erbij. Daar staan vaak contracten, personeelsdossiers of klantgegevens. Kon een aanvaller bij het apparaat, dan moet u vaststellen of persoonsgegevens getroffen kunnen zijn; dan kan er een meldplicht volgens de AVG bestaan. Stem dit vroeg af met uw functionaris voor gegevensbescherming; dit is geen juridisch advies.
Hoe helpt PHP SOS concreet?
- Bestand opnemen: Wij leggen samen met u alle systemen met webinterface vast, ook NAS, appliances en virtuele machines.
- Bereikbaarheid controleren: Wij controleren van buitenaf welke interfaces vanaf internet bereikbaar zijn en stellen afschermingen voor. Een diepere controle biedt de beveiligingsaudit met penetratietest.
- Situatie bij fabrikanten volgen: Wij koppelen beveiligingsmeldingen van fabrikanten aan uw apparaten en plannen updates.
- Verdenking ophelderen: Stond een getroffen apparaat open op het netwerk, dan stellen wij logs veilig en onderzoeken wij op sporen.
Veelgestelde vragen
Is mijn NAS getroffen door PHP2Shell?
Dat kan alleen de fabrikant voor uw model en uw firmware bindend zeggen. Raadpleeg zijn beveiligingsmeldingen en controleer of u op de NAS zelf PHP-websites draait, bijvoorbeeld via een webserverpakket. Tot dit is opgehelderd mag de interface niet vanaf internet bereikbaar zijn.
Kan ik PHP op een NAS of firewall zelf bijwerken?
In de regel niet. PHP is daar onderdeel van de firmware of van een fabrikantpakket. Updates komen via de updatefunctie van het apparaat. Handmatige ingrepen in de firmware kunnen garantie en stabiliteit in gevaar brengen.
Volstaat het de webinterface alleen in het lokale netwerk te gebruiken?
Het verlaagt het risico aanzienlijk, maar neemt het niet weg. Een reeds gecompromitteerde computer in hetzelfde netwerk kan de interface nog steeds bereiken. Beter is een eigen beheernetwerk of toegang uitsluitend via VPN.
Waaraan herken ik dat een apparaat PHP gebruikt?
Soms verraadt het de serverheader of de extensie .php in adressen van de interface. Ontbreken zulke aanwijzingen, dan bewijst dat niets. Betrouwbaar zijn de documentatie van de fabrikant en beveiligingsmeldingen.