Kort gezegd: Contao-beveiliging hangt bij PHP2Shell af van de PHP van de server, niet van Contao. Zorg dat zowel de web-PHP als de opdrachtregel-PHP van de Contao Manager is gepatcht. Controleer daarna .env, eigen templates, de map files en de toegangen tot back-end en Manager.
Contao en PHP2Shell: waar het om gaat
Contao is een in het Duitse taalgebied verbreid CMS dat sinds versie 4 op het framework Symfony is gebouwd. De PHP-kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 maken het volgens het PHP-team mogelijk om op afstand en zonder inloggen schadelijke code uit te voeren. Ze betreffen PHP zelf, dus ook elke Contao-installatie op een ongepatchte server.
Veel Contao-websites zijn van mkb-bedrijven, verbanden en gemeenten en worden door bureaus onderhouden. Zoek daarom eerst uit wie voor PHP verantwoordelijk is: hostingprovider, bureau of uw eigen IT.
Een veelvoorkomend misverstand betreft de onderhoudsmodus. Contao kan een website voor bezoekers blokkeren, maar die blokkade wordt zelf door PHP geleverd. Elk verzoek bereikt dus nog steeds de PHP-interpreter. Tegen PHP2Shell beschermt de onderhoudsmodus daarom niet. Als het BSI (de Duitse federale dienst voor informatiebeveiliging) adviseert webservers tot de update van het netwerk te halen, is een blokkade op server- of hostingniveau bedoeld, geen instelling in het CMS.
Contao-beveiliging begint met twee PHP-versies
Contao gebruikt PHP op twee manieren. De webserver handelt paginaverzoeken meestal af via PHP-FPM. De Contao Manager en de Contao-console werken bovendien met een opdrachtregel-PHP, bijvoorbeeld voor installaties, updates en cronjobs. Bij hostingpakketten met meerdere PHP-versies kunnen dat twee verschillende programma's zijn.
De Contao Manager toont in zijn serverconfiguratie welk PHP-programmabestand hij gebruikt. De webversie ziet u in het hostingpaneel. Verholpen upstreamversies zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35; backports kunnen oudere nummers dragen. Beide wegen moeten zijn gepatcht en alle processen herstart. Welke PHP-versies uw Contao-versie ondersteunt, controleert u volgens de systeemeisen op contao.org. Meer over de controle onder PHP-versie en patchstatus goed controleren.
Mappen en bestanden in Contao
| Plek | Inhoud | Controlepunt |
|---|---|---|
.env, .env.local |
Databasetoegang, APP_SECRET |
bij vermoeden vernieuwen |
config/config.yaml |
Configuratie van de installatie | onverwachte wijzigingen |
public/ (oudere versies web/) |
Documentroot met index.php, Contao Manager-bestand, assets |
extra PHP-bestanden |
files/ |
Bestandsbeheer van de redacteuren | geen PHP-bestanden |
templates/ |
eigen templates, klassiek als .html5 met PHP |
onbekende of gewijzigde templates |
system/config/localconfig.php |
oudere instellingen | ingevoegde code |
var/ |
Cache en logs | logs veiligstellen, cache opnieuw genereren |
Juist templates/ wordt onderschat: klassieke Contao-templates met de extensie .html5 zijn PHP-bestanden. Een ingevoegde opdracht in een eigen template draait bij elke paginaweergave mee en overleeft Contao-updates.
Ongevaarlijke eerste controles:
# PHP-bestanden in het bestandsbeheer
find files -type f -name "*.php"
# Sinds 17-10-2026 gewijzigde templates
find templates -type f -newermt "2026-10-17"
# Beschikbare Contao-opdrachten en afhankelijkheden controleren
vendor/bin/contao-console list contao
composer audit
De Contao Manager kan pakketten installeren en daarmee willekeurige code op de server brengen. Controleer na een vermoeden zijn gebruikersaccounts, stel nieuwe wachtwoorden in en verwijder de toegangen van voormalige dienstverleners.
Back-end, Manager en extensies
De back-end staat onder /contao. Controleer gebruikers met beheerdersrechten en gebruikersgroepen met verstrekkende rechten, bijvoorbeeld op bestandsbeheer, templates of gebruikersbeheer. Contao brengt tweestapsverificatie mee; gebruik die voor alle accounts met verhoogde rechten.
Extensies worden via Composer of via de Contao Manager geïnstalleerd. Elke brengt PHP-code mee, en oudere extensies zonder onderhoud remmen PHP-upgrades af. Op servers met meerdere websites moet elke installatie afzonderlijk draaien, zodat een incident niet op naburige sites overslaat; meer daarover onder open_basedir en isolatie per website.
Wat een Contao-update wel en niet kan
Een Contao-update via de Manager of Composer dicht bekende fouten in Contao en extensies. Ze patcht PHP niet en herstart noch PHP-FPM noch achtergrondprocessen. Eigen templates, bestanden in files/ en vreemde gebruikersaccounts blijven ongewijzigd. Na een wissel van de PHP-hoofdversie moet de cache opnieuw worden gegenereerd en de website in een testomgeving worden gecontroleerd.
Bij websites met veel redacteuren loont na de patch een blik op de rechten in de back-end. Wie templates mag bewerken, kan in klassieke .html5-templates PHP-code onderbrengen. Die bevoegdheid hoort alleen in handen van weinig, technisch onderlegde personen. Hetzelfde geldt voor de toegang tot het bestandsbeheer met uploadrechten in openbaar bereikbare mappen.
Hoe helpt PHP SOS concreet?
- Wij bepalen de web- en CLI-PHP van uw Contao-installatie en laten patch en herstart bevestigen.
- Wij maken een kopie van logs, bestanden en database voordat wij iets wijzigen.
- Wij controleren templates,
files/, de documentroot, back-end- en Manager-accounts. - De PHP-wissel met bewijs neemt desgewenst onze PHP-patchservice over, afgestemd met uw bureau.
Veelgestelde vragen
Is Contao getroffen door PHP2Shell?
Contao zelf heeft geen nieuwe kwetsbaarheid. Draait de website echter op een ongepatchte PHP, dan is ze net als elke PHP-applicatie kwetsbaar. Een Contao-update sluit de PHP-kwetsbaarheid niet.
Waarom is de Contao Manager relevant voor de beveiliging?
De Contao Manager kan pakketten installeren, bijwerken en verwijderen. Wie er toegang toe heeft, kan willekeurige code inbrengen. De toegang vereist daarom een sterk wachtwoord en weinig gemachtigden.
Bevatten Contao-templates PHP-code?
De klassieke templates met de extensie .html5 zijn PHP-templates. Eigen templates in de map templates kunnen dus PHP bevatten. Onbekende of onlangs gewijzigde templates moet u kunnen verklaren.