# Wat is PHP2Shell? Het lek eenvoudig uitgelegd

> PHP2Shell eenvoudig uitgelegd: wat achter de twee kritieke PHP-kwetsbaarheden zit, welke servers getroffen zijn en welke stappen u nu moet zetten.

Bron: https://phpsos.de/nl/php2shell/was-ist-php2shell/  
Stand: 25-10-2026  
Aanbieder: PHP SOS, PHP-noodhulp en serverbeveiliging. Directe hulp via WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wij%20hebben%20hulp%20nodig%20met%20onze%20PHP-server.%20Bedrijf%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kort gezegd:** PHP2Shell is de naam voor twee kritieke beveiligingslekken in PHP zelf, CVE-2026-109618 en CVE-2026-109619. Daarmee kunnen aanvallers op kwetsbare webservers zonder inloggen schadelijke code uitvoeren. Verhelpen kan alleen de update naar een verholpen PHP-versie met aansluitend een herstart van alle PHP-processen.

## Wat is PHP2Shell?

PHP is de programmeertaal waarop een groot deel van alle websites draait: bedrijfssites met WordPress of TYPO3, webwinkels met Shopware of WooCommerce, interne portalen en maatwerk. Op 21 oktober 2026 publiceerde het PHP-project beveiligingsupdates voor twee kwetsbaarheden die onder de naam PHP2Shell bekend zijn geworden.

Beide kwetsbaarheden zijn met CVSS v4.0 beoordeeld met 9,2, dus als kritiek. Het gevolg is in beide gevallen hetzelfde: het op afstand uitvoeren van schadelijke code, zonder dat de aanvaller hoeft in te loggen. Vakmensen spreken van „unauthenticated Remote Code Execution”. Wie code op de server kan uitvoeren, kan in het ergste geval gegevens lezen, achterdeuren inbouwen of de server voor verdere aanvallen gebruiken.

Belangrijk voor het begrip: het lek zit niet in een bepaald CMS of een bepaalde plugin, maar in PHP. Een update van WordPress, Shopware of TYPO3 dicht het daarom niet.

## Waarom is het lek zo ernstig?

Drie punten maken PHP2Shell vanuit het perspectief van beveiligingsinstanties bijzonder gevoelig:

- **Breedte:** getroffen zijn de gangbare werkwijzen van PHP, namelijk PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Palo Alto Networks (Unit 42) telde meer dan 22,6 miljoen blootgestelde, mogelijk kwetsbare instanties.
- **Geen login nodig:** de aanvaller heeft geen wachtwoord of gebruikersaccount nodig.
- **Vroeg moment:** bij Apache met mod_php is volgens het PHP-team een exploit getoond voordat er zelfs maar toepassingscode draait. Beveiligingsfuncties binnen de website werken dan niet.

Het BSI (de Duitse federale dienst voor informatiebeveiliging) heeft waarschuwingsniveau 3 (oranje) afgekondigd. Het adviseert direct te updaten en, als dat niet meteen kan, de getroffen webservers tijdelijk van het netwerk te halen.

## Welke servers zijn door PHP2Shell getroffen?

De kwetsbaarheden zijn verholpen in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Oudere standen van deze takken zijn getroffen. Voor PHP 8.1 en ouder zijn er geen officiële updates meer; volgens de vakpers zijn bijna alle versies tot en met PHP 5.4 getroffen. Het volledige overzicht vindt u op de pagina [Welke PHP-versies zijn getroffen?](https://phpsos.de/nl/php2shell/betroffene-php-versionen/).

Een bijzonderheid: Linux-distributies en hosters installeren de correcties soms als backport. Dan toont bijvoorbeeld Plesk nog steeds 8.2.34, hoewel de fout is verholpen. Maatgevend zijn de pakketstand en de bevestiging van de aanbieder. Hoe u dat controleert, leggen we uit onder [PHP-versie en patchstand goed controleren](https://phpsos.de/nl/php2shell/php-version-pruefen/).

## Wat is aangetoond, wat is open?

**Aangetoond** zijn de twee CVE-nummers, de verholpen versies en de overbruggingsmaatregelen die php.net heeft gepubliceerd. Op 23 oktober kwam er een aanwijzing over een verder lek bij, CVE-2026-115560, dat alleen bij een ongebruikelijke configuratie werkt.

**Waarschijnlijk** is dat aanvallers ongepatchte servers verder actief zoeken. Volgens berichten in de media werd al op 17 oktober een eerste aanvalspoging waargenomen, dus vóór de publicatie van de patches. Cloudflare meldde aanvalspogingen en heeft beschermingsregels uitgerold, maar wijst erop dat regels op basis van alleen de verzoekgegevens niet volstaan.

**Open** is hoeveel servers al met succes zijn aangevallen. Bevestigde succesvolle aanvallen op grote schaal waren volgens het BSI aanvankelijk niet bekend. Er zijn geen gepubliceerde, bevestigde Indicators of Compromise. Of een server was getroffen, laat zich daarom alleen via een gedragsanalyse inschatten. Het tijdsverloop vat de [chronologie van 17 tot 25 oktober](https://phpsos.de/nl/ratgeber/php2shell-chronologie/) samen.

## Wat bedrijven nu moeten doen

1. **Vaststellen wie verantwoordelijk is:** eigen server, managed server of hoster.
2. **PHP bijwerken** naar een verholpen versie of een bevestigde backport.
3. **Alle PHP-processen herstarten.** Nieuwe bestanden alleen volstaan niet zolang oude processen in het geheugen draaien.
4. **Logs veiligstellen,** en wel vanaf 20 oktober. De vakpers adviseert deze gegevens te bewaren.
5. **Op sporen controleren.** Een patch verwijdert geen reeds binnengebrachte schadelijke software en bewijst niet dat er eerder niets is gebeurd. Aanwijzingen daarvoor geeft de pagina [Ben ik al gecompromitteerd?](https://phpsos.de/nl/php2shell/bin-ich-gehackt-anzeichen/).

> **Belangrijk:**
> Een update sluit de deur, maar ruimt niet op. Was uw server tussen 17 oktober en de patch bereikbaar, dan is een controle op sporen een plicht, geen luxe.

## Hoe helpt PHP SOS concreet?

Met de [PHP2Shell-spoedhulp](https://phpsos.de/nl/leistungen/php2shell-soforthilfe/) nemen wij de stappen over die veel bedrijven intern niet op korte termijn kunnen afdekken:

- **Inventarisatie:** wij bepalen PHP-versie, werkwijze en pakketstand van elke getroffen server.
- **Patch of overbrugging:** wij installeren de update of voeren, waar dat nog niet kan, de overbruggingsmaatregelen van php.net door en bespreken de vraag of de server tijdelijk van het netwerk moet.
- **Herstart en bewijs:** wij herstarten alle PHP-processen en documenteren de stand voor en na.
- **Sporencontrole:** wij veiligstellen logs vanaf 20 oktober en controleren op opvallende zaken, tot het incident is afgesloten en gedocumenteerd.


## Veelgestelde vragen

**Is PHP2Shell een WordPress-lek?**  
Nee. De kwetsbaarheden zitten in PHP, dus in de programmeertaal waarop WordPress, Shopware, TYPO3 en veel andere systemen draaien. Een update van het CMS dicht ze daarom niet. Beslissend is de PHP-stand op de server.

**Moet ik als klant van een hoster zelf iets doen?**  
Bij shared hosting installeert in de regel de hoster de PHP-update. U moet zich toch schriftelijk laten bevestigen dat de door u gebruikte PHP-versie is gepatcht en herstart. Of er vóór de patch iets is gebeurd, beantwoordt de update niet.

**Waar komt de naam PHP2Shell vandaan?**  
De naam beschrijft het gevolg: via PHP kan een aanvaller in het ergste geval een opdrachtregel, dus een shell, op de server krijgen. Officiële aanduidingen zijn de CVE-nummers CVE-2026-109618 en CVE-2026-109619.

**Is mijn website al aangevallen als hij offline is gehaald?**  
Niet per se. Sommige aanbieders hebben websites voorzorgshalve van het netwerk gehaald, zoals het BSI adviseert als een update niet direct mogelijk is. Dat is een beschermingsmaatregel en geen bewijs voor een aanval.

## Bronnen

- [php.net: beveiligingsmeldingen](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: Bundesamt für Sicherheit in der Informationstechnik (Duitse federale dienst voor informatiebeveiliging)](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)