Kort gezegd: Het PHP-lek eenvoudig uitgelegd: PHP is de software op de webserver die websites bouwt op het moment dat iemand ze opent. Bij PHP2Shell ruimt PHP in bepaalde uitzonderlijke gevallen niet netjes op, en precies dat kunnen aanvallers misbruiken om zonder wachtwoord eigen opdrachten op de server uit te voeren. Een PHP-update met aansluitende herstart verhelpt dat; die speelt in de regel uw hostingprovider of dienstverlener in.
Waarom iedereen het juist over PHP heeft
In het nieuws was sprake van een „kritiek beveiligingslek”, overheden haalden websites van het net, het BSI (de Duitse federale dienst voor informatiebeveiliging) waarschuwde met niveau Oranje. Voor veel eigenaren en medewerkers klinkt dat dreigend en tegelijk onbegrijpelijk. Wat is PHP, en waarom raakt dat nu juist de eigen bedrijfswebsite?
Deze bijdrage legt de situatie uit zonder vakjargon. Wie daarna dieper wil gaan, vindt de technische duiding onder Wat is PHP2Shell?.
Wat PHP eigenlijk doet: een beeld uit het dagelijks leven
Stel u uw website voor als een restaurant. De gast is de bezoeker, de bestelling is het openen van een pagina. PHP is de keuken: ze neemt elke bestelling aan, haalt de ingrediënten uit het magazijn, oftewel de database, en maakt het bord klaar, oftewel de kant-en-klare pagina.
Om het snel te laten gaan, heeft de keuken meerdere koks die na elkaar veel bestellingen afhandelen. Vakmensen noemen ze „workers”. Na elke bestelling moet de werkplek volledig worden opgeruimd voordat de volgende komt.
Op PHP draaien heel veel bekende systemen: WordPress, Shopware, TYPO3, Joomla, Nextcloud en talloze eigen ontwikkelingen. Hoe PHP in principe werkt, legt de bijdrage Wat is PHP? uit.
Het PHP-lek eenvoudig uitgelegd: wat er bij PHP2Shell misgaat
PHP2Shell bestaat uit twee fouten. Beide hebben met opruimen te maken, en beide treden alleen op in uitzonderlijke situaties.
De eerste fout (CVE-2026-109618): Soms heeft de keuken midden in de bereiding geen ruimte meer. Vakmensen zeggen „Out of Memory”, het geheugen is vol. Dan wordt het werk afgebroken terwijl de bestelling pas half is voorbereid. Bij het daaropvolgende opruimen houdt PHP onafgemaakte dingen ten onrechte voor klaar.
De tweede fout (CVE-2026-109619): Na een bestelling blijft er iets op de werkplek liggen dat eigenlijk al weggeruimd had moeten zijn. De volgende bestelling bij dezelfde kok kan erbij, voordat het wordt verwijderd.
In beide gevallen geldt: wie precies weet hoe hij deze uitzonderlijke situatie veroorzaakt, kan de keuken dingen laten doen die nooit zijn besteld. In het ergste geval neemt hij de controle over de server over. Een wachtwoord heeft hij daarvoor niet nodig. Hoe een verzoek in PHP stap voor stap wordt verwerkt, beschrijft de bijdrage over de levenscyclus van een verzoek.
U hoeft de techniek niet te begrijpen om juist te handelen. Beslissend is één enkele vraag aan uw hostingprovider of dienstverlener: Is PHP op onze server bijgewerkt en herstart, en kunt u dat schriftelijk bevestigen?
De belangrijkste begrippen in één oogopslag
| Begrip | Eenvoudig uitgelegd |
|---|---|
| PHP | software op de server die webpagina's bij het openen opbouwt |
| Beveiligingslek | een fout die vreemden kunnen misbruiken |
| CVE-nummer | wereldwijd eenduidig kenmerk van een beveiligingslek |
| CVSS 9.2 | ernstgraad op een schaal tot 10; 9.2 geldt als kritiek |
| Remote Code Execution | vreemden kunnen op afstand eigen opdrachten op de server uitvoeren |
| Shell | opdrachtregel waarmee een server kan worden bestuurd |
| Patch | update die de fout verhelpt |
| Backport | correctie die in een oudere versie wordt ingebouwd zonder het versienummer te wijzigen |
| Herstart | oude PHP-processen beëindigen, zodat de gecorrigeerde versie echt aan het werk is |
Waarom update, herstart en controle bij elkaar horen
Blijven we bij het restaurant. De update is een nieuwe werkinstructie voor de keuken: zo wordt er voortaan opgeruimd. Alleen werken de koks die op dat moment dienst hebben nog volgens de oude instructie door. Pas als de dienst wisselt, geldt de nieuwe. Precies dat is de herstart: alle oude PHP-processen worden beëindigd, nieuwe starten met de gecorrigeerde versie. Zonder herstart staat de update wel op de server, maar werkt ze niet.
En nog iets laat het beeld zien. Een nieuwe werkinstructie voorkomt toekomstige pannes, maar zegt niets over de vraag of er in de dagen daarvoor ongemerkt iemand in de keuken was die iets heeft verstopt. Daarom hoort na de update een controle op sporen, vooral als de server in de tijd tussen 17 oktober en de update bereikbaar was.
Wat u nu moet doen: drie typische uitgangssituaties
Wat te doen is, hangt af van waar uw website staat.
- Uw website staat bij een hostingprovider (shared hosting). De hostingprovider speelt de PHP-update in de regel in. Uw taak: een schriftelijke bevestiging opvragen en in het klantenmenu controleren of een actuele PHP-versie is ingesteld. Wat er verder uw taak is, staat onder Shared hosting: wat de hostingprovider doet en wat u moet doen.
- Een bureau of IT-dienstverlener beheert uw website. Vraag daar na of de update is ingespeeld en PHP is herstart, en vraag om een korte controle op bijzonderheden.
- U hebt een eigen server. Dan bent u zelf of uw IT verantwoordelijk: PHP bijwerken, alle PHP-processen herstarten, logs vanaf 20 oktober veiligstellen en op sporen controleren.
In alle drie de gevallen geldt: een update van WordPress of een ander systeem op de website dicht het lek niet. En een update bewijst niet dat er eerder niets is gebeurd.
Hoe helpt PHP SOS concreet?
- Begrijpelijk uitleggen: Wij vertellen u in heldere woorden of en hoe uw systemen getroffen zijn.
- Met de hostingprovider spreken: Op verzoek stemmen wij de patchstatus rechtstreeks af met uw hostingprovider of dienstverlener.
- Bijwerken en controleren: Bij eigen servers spelen wij de update in, herstarten PHP en controleren op sporen.
- Schriftelijk vastleggen: U krijgt een korte documentatie van de stand.
Meer daarover onder PHP2Shell-noodhulp.
Conclusie
PHP2Shell klinkt ingewikkeld, de situatie is dat in de kern niet: de keuken van uw website ruimt in uitzonderlijke gevallen niet goed op, en dat is te misbruiken. De update repareert dat. Uw taak is ervoor te zorgen dat ze is ingespeeld, geactiveerd en aangetoond, en zo nodig te laten nakijken of er eerder iemand in de keuken was.
Veelgestelde vragen
Wat is PHP in eenvoudige woorden?
PHP is een programmeertaal die op de webserver werkt. Als u een pagina opent, bouwt PHP die op dat moment op, bijvoorbeeld met actuele producten, prijzen of uw winkelmandje, en stuurt hem naar uw browser.
Is mijn website getroffen als ik WordPress gebruik?
WordPress draait op PHP, daarom is de server eronder mogelijk getroffen. Of uw website gevaar loopt, hangt af van de PHP-stand op de server, niet van de WordPress-versie. Vraag uw hostingprovider of dienstverlener naar de PHP-update.
Kan ik als bezoeker van een website gevaar lopen?
Het lek treft servers, niet de computers van bezoekers. Wordt een server overgenomen, dan kunnen aanvallers echter bijvoorbeeld inhoud wijzigen of bezoekers naar andere sites doorsturen. Daarom is de update voor beheerders belangrijk.
Wat betekent de naam PHP2Shell?
Hij beschrijft het mogelijke gevolg: via PHP kan een aanvaller in het ergste geval een shell krijgen, een soort afstandsbediening voor de server. De officiële aanduidingen zijn CVE-2026-109618 en CVE-2026-109619.