Kort gezegd: Door het PHP-beveiligingslek PHP2Shell zijn de takken 8.2 tot en met 8.5 getroffen tot aan de releases van 21 oktober 2026, volgens de vakpers bijna alle versies tot en met PHP 5.4. Verholpen is het in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder zijn er geen officiële updates meer, alleen minimale broncode-backports voor 7.4, 8.0 en 8.1.
Welke versies heeft het PHP-beveiligingslek getroffen?
PHP2Shell omvat de twee kwetsbaarheden CVE-2026-109618 en CVE-2026-109619, elk met CVSS v4.0 beoordeeld met 9,2. Beide maken het op afstand uitvoeren van schadelijke code zonder inloggen mogelijk. Op 21 oktober 2026 om 14:00 UTC (16 uur Duitse tijd) publiceerde het PHP-project correcties voor alle ondersteunde takken.
| PHP-tak | Laatste stand vóór de fix | Verholpen vanaf | Ondersteuning |
|---|---|---|---|
| 8.5 | 8.5.11 | 8.5.12 | officieel ondersteund |
| 8.4 | 8.4.26 | 8.4.27 | officieel ondersteund |
| 8.3 | 8.3.35 | 8.3.36 | officieel ondersteund |
| 8.2 | 8.2.34 | 8.2.35 | eindigt op 31-12-2026 |
| 8.1, 8.0, 7.4 | alle standen | geen officiële release | alleen minimale broncode-backports |
| 7.3 tot 5.4 | volgens de vakpers bijna alle getroffen | geen update | al jaren zonder ondersteuning |
De gegevens over 8.2 tot 8.5 komen uit de meldingen van php.net. De uitspraak over de versies tot en met PHP 5.4 komt uit de vakpers; een volledige officiële lijst voor oude versies bestaat niet.
Voor niet-technici in enkele zinnen: staat er op uw server een versie uit de kolom „Verholpen vanaf” of hoger en zijn daarna alle PHP-processen herstart, dan is PHP2Shell gedicht. Staat er een ouder nummer, dan is er ofwel een backport in het spel die uw aanbieder moet bevestigen, ofwel staat het lek open. Vraag uw IT of uw hoster in geval van twijfel precies naar deze drie punten: versie, backport, herstart.
Getroffen werkwijzen
Het versienummer is maar het halve antwoord. Getroffen zijn alle gangbare manieren om PHP op een webserver te draaien: PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het PHP-team schat het risico bij mod_php het hoogst in, omdat daar een exploit is getoond voordat er zelfs maar toepassingscode draait. Details daarover onder Waarom mod_php het hoogste risico draagt.
Geen bescherming volgt uit de toepassing: of het nu WordPress, Shopware, TYPO3, Laravel of maatwerk is, een update van de toepassing dicht het lek in PHP niet.
Backports: wanneer het versienummer misleidt
Veel Linux-distributies en hosters leveren PHP in eigen pakketten. In plaats van naar een nieuwe upstreamversie te springen, nemen ze de correctie als backport over in hun bestaande versie. Dat heeft een praktisch gevolg: het getoonde nummer blijft oud. Een voorbeeld uit de huidige situatie is Plesk, dat nog steeds 8.2.34 kan tonen, hoewel de fout is verholpen.
Voor u betekent dat: de tabel hierboven geldt voor de officiële releases van php.net. Bij pakketten uit uw distributie of van de hoster beslissen de pakketstand en de bevestiging van de aanbieder. Hoe u beide controleert, laat zien PHP-versie en patchstand goed controleren. Voor de sneltest op de opdrachtregel:
php -v
apt policy php8.3-fpm # Debian/Ubuntu, pakketnaam verschilt per versie en bron
dnf info php-fpm # RHEL-familie
Een verholpen versienummer op de schijf betekent nog niet dat het ook draait. Pas na de herstart van alle PHP-processen werkt de server met de gecorrigeerde code.
Wat geldt voor PHP 8.1 en ouder?
Voor PHP 8.1, 8.0 en 7.4 zijn er alleen minimale broncode-backports, dus correcties in de broncode die iemand zelf moet overnemen en compileren. Officiële releases verschijnen niet. Sommige distributies met langetermijnonderhoud bouwen zulke correcties in hun pakketten in; of dat voor uw systeem geldt, valt alleen aan de pakketchangelog of bij de aanbieder uit te zoeken.
Op lange termijn komt u niet om een ondersteunde versie heen. Welke PHP-versie uw CMS of shop aankan, controleert u volgens de systeemeisen van de fabrikant, bijvoorbeeld op wordpress.org, shopware.com of typo3.org. Meer daarover onder PHP 8.1 en ouder: wat nu geldt.
En CVE-2026-115560?
Op 23 oktober publiceerde php.net een aanwijzing over een derde kwetsbaarheid. Ze werkt alleen bij een ongebruikelijke sessieconfiguratie. Een verholpen versie bestaat volgens de stand van 25 oktober nog niet; tot de volgende reguliere bugfixrelease luidt de remedie session.upload_progress.enabled=0. Een versielijst wordt pas met het volledige advisory verwacht.
Hoe helpt PHP SOS concreet?
- Inventaris: wij leggen alle PHP-versies op uw servers vast, ook tweede installaties voor afzonderlijke websites, die graag over het hoofd worden gezien.
- Vergelijking: voor elke installatie stellen we vast of er een officiële release, een distributiebackport of geen correctie is.
- Update met bewijs: via de PHP-patchservice installeren we de correctie en herstarten we alle processen.
- Migratieplan: voor versies zonder officiële updates plannen we met de migratie van PHP 8.1 en ouder de overstap en beveiligen we de server tot dan.
Veelgestelde vragen
Is PHP 8.3.35 nog veilig?
Nee, tenzij uw aanbieder een backport heeft geïnstalleerd. 8.3.35 is de laatste stand vóór de fix; PHP2Shell is in de tak 8.3 verholpen vanaf 8.3.36. Bij distributiepakketten kan het nummer gelijk blijven, hoewel de fout is verholpen. Dan telt de pakketchangelog of de bevestiging van de aanbieder.
Is PHP 7.4 getroffen door PHP2Shell?
Volgens de vakpers zijn bijna alle versies tot en met PHP 5.4 getroffen. Voor 7.4, 8.0 en 8.1 zijn er alleen minimale broncode-backports en geen officiële releases. Een overstap naar een ondersteunde versie is de betrouwbare weg.
Waarom toont Plesk 8.2.34 terwijl er is gepatcht?
Distributies en hosters nemen correcties soms als backport over in hun bestaande pakketten. Het versienummer blijft dan gelijk, de fout is toch verholpen. Controleer de pakketstand of laat de patch door de aanbieder bevestigen.
Welke PHP-versie moet ik nu kiezen?
Een ondersteunde versie die uw toepassing volgens de systeemeisen van de fabrikant vrijgeeft. PHP 8.2 bereikt op 31 december 2026 het einde van de ondersteuning; wie nu toch overstapt, moet daar rekening mee houden.