Veelgestelde vragen

PHP2Shell staat voor twee kritieke kwetsbaarheden in PHP zelf (CVE-2026-109618 en CVE-2026-109619, CVSS 9.2). Ze kunnen aanvallers in staat stellen om zonder inloggen schadelijke code op de server uit te voeren. Er zijn patches sinds 21-10-2026.

De correcties zitten in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Hostingproviders en distributies voeren soms backports door zonder het versienummer te wijzigen. Beslissend is de pakketstatus of de schriftelijke bevestiging van de aanbieder.

Nee. De kwetsbaarheid zit in PHP, niet in het CMS. Een CMS-update sluit haar niet. En een PHP-patch verwijdert geen schadelijke code die er al eerder is ingebracht.

Wij werken op afstand en beginnen zodra de toegangen er zijn. Stuur ons via WhatsApp het systeem, de PHP-versie en wat u opmerkt. Dan stemmen we de aanpak direct af.

Ja. Wij werken rechtstreeks voor bedrijven, op de achtergrond in opdracht van bureaus en in overleg met uw hostingprovider als die de server beheert.

Als persoonsgegevens getroffen kunnen zijn, geldt volgens art. 33 AVG in de regel een meldtermijn van 72 uur vanaf het moment van kennisname. Of die termijn van toepassing is, bespreekt u met uw functionaris voor gegevensbescherming. Wij leveren de technische documentatie daarvoor.

Nee. De kwetsbaarheden zitten in PHP, dus in de programmeertaal waarop WordPress, Shopware, TYPO3 en veel andere systemen draaien. Een update van het CMS dicht ze daarom niet. Beslissend is de PHP-stand op de server.

Bij shared hosting installeert in de regel de hoster de PHP-update. U moet zich toch schriftelijk laten bevestigen dat de door u gebruikte PHP-versie is gepatcht en herstart. Of er vóór de patch iets is gebeurd, beantwoordt de update niet.

De naam beschrijft het gevolg: via PHP kan een aanvaller in het ergste geval een opdrachtregel, dus een shell, op de server krijgen. Officiële aanduidingen zijn de CVE-nummers CVE-2026-109618 en CVE-2026-109619.

Niet per se. Sommige aanbieders hebben websites voorzorgshalve van het netwerk gehaald, zoals het BSI adviseert als een update niet direct mogelijk is. Dat is een beschermingsmaatregel en geen bewijs voor een aanval.

Dat kan volstaan als de hoster de pakketstand schriftelijk bevestigt en alle PHP-processen zijn herstart. Het getoonde versienummer alleen is geen bewijs, omdat distributies backports installeren. Of de server al eerder is aangevallen, beantwoordt een patch sowieso niet.

Niet per se. Het BSI adviseert webservers tijdelijk van het netwerk te halen als de update niet direct mogelijk is. Of dat bij u nodig is, beslissen we samen na de inventarisatie.

Nee. PHP2Shell zit in PHP zelf, niet in het CMS. Een CMS-update blijft zinvol, maar dicht dit lek niet.

Voor deze versies zijn er geen officiële updates meer van het PHP-project, alleen minimale broncode-backports voor 7.4, 8.0 en 8.1. Wij beveiligen de server tijdelijk en plannen met u de overstap naar een ondersteunde versie.

Volgens art. 33 AVG vanaf het moment waarop de verwerkingsverantwoordelijke kennis heeft genomen van de inbreuk. Wanneer dat in het individuele geval moet worden aangenomen, is een juridische beoordeling. Documenteer daarom nauwkeurig wanneer wie welke informatie had.

Nee. Een kwetsbaarheid alleen is nog geen inbreuk op de beveiliging van persoonsgegevens. Meldplichtig kan het worden als er aanwijzingen zijn dat onbevoegden toegang hadden of konden hebben tot dergelijke gegevens, en daaruit een risico voor betrokkenen ontstaat.

Art. 33, lid 4, AVG staat toe informatie gefaseerd na te sturen als die niet tegelijk kan worden verstrekt. Een late melding moet worden gemotiveerd. Wachten op volledige duidelijkheid is daarom in de regel geen reden om de termijn te laten verstrijken.

Meldplichtig is de verwerkingsverantwoordelijke, dus in de regel het bedrijf dat de website exploiteert. Een verwerker zoals de hostingprovider moet de verwerkingsverantwoordelijke volgens art. 33, lid 2, AVG onverwijld informeren.

Bij de bevoegde toezichthoudende autoriteit voor gegevensbescherming; voor bedrijven in Duitsland is dat meestal de autoriteit van de deelstaat waar ze gevestigd zijn. De meeste autoriteiten bieden daarvoor onlineformulieren aan.