PHP2Shell: kritieke lekken in PHP, dit moet je nu doen

Op 20 oktober 2026 werden twee kritieke lekken in PHP bekend, voordat er een oplossing was. Ze worden samen PHP2Shell genoemd. PHP is de programmeertaal waarop een groot deel van alle websites draait, waaronder bijna elke website met WordPress. Een aanvaller die de lekken misbruikt, kan op afstand zijn eigen code uitvoeren op de server, en daarmee de website of webapplicatie overnemen.

In dit artikel lees je wat er aan de hand is, of jouw organisatie risico loopt en wat je nu moet doen.

Stand van zaken (21 oktober 2026, 16:20): PHP heeft de updates uitgebracht: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Installeer ze zo snel mogelijk. Kijk voor de actuele stand op php.net en bij het NCSC.

Wat is PHP2Shell?

PHP2Shell is de bijnaam van twee kwetsbaarheden in PHP zelf, met de kenmerken CVE-2026-109618 en CVE-2026-109619. Het PHP-team geeft ze allebei een score van 9,2 op 10: kritiek. Een aanvaller kan ze misbruiken zonder in te loggen, met één speciaal verzoek aan de website, nog voordat de website zelf iets doet.

Beide lekken zitten in de manier waarop PHP intern met geheugen omgaat tussen verzoeken van bezoekers. Bij het ene kan PHP bij een geheugentekort halverwege worden onderbroken en daarna met half ingevulde gegevens verdergaan. Bij het andere blijven gegevens van een vorig verzoek bewaard terwijl het geheugen al is vrijgegeven, zodat een volgend verzoek ze kan misbruiken.

Normaal worden zulke lekken pas bekendgemaakt als er een update klaarstaat. Deze keer lekten de details eerder uit. Daarom bracht het PHP-team op 21 oktober een spoedupdate uit, en waarschuwen onder meer het NCSC en de Europese cybersecuritydienst CERT-EU.

Loopt jouw organisatie risico?

Het korte antwoord: als je een website of webapplicatie hebt die op PHP draait, ja, tot de update is geïnstalleerd. Volgens het PHP-team is elke PHP-installatie kwetsbaar die verzoeken van bezoekers afhandelt, op welke manier de webserver PHP ook gebruikt.

Denk daarbij aan:

• je website, zeker als die met WordPress, Joomla of Drupal is gemaakt;
• een webwinkel, bijvoorbeeld met WooCommerce of Magento;
• een klanten- of personeelsportaal, of een andere webapplicatie die voor jou is gebouwd;
• software van leveranciers die via een webpagina werkt, zoals een boekingssysteem of een intranet.

Veilig ben je pas met PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 (of nieuwer binnen dezelfde reeks), of met een versie waarin je leverancier de oplossing heeft verwerkt. Gebruik je een oudere versie, dan ben je kwetsbaar. Welke versie jouw website gebruikt, zie je bijvoorbeeld in WordPress onder Extra → Sitestatus → Info → Server, of in het hostingpaneel bij de PHP-instellingen van je domein.

Draait je website bij een hostingpartij, dan is het installeren van PHP-updates meestal hun taak. Ga daar niet zomaar van uit: vraag het na.

Wat moet je nu doen?

1. Breng in kaart waar je PHP gebruikt. Welke websites en webapplicaties heb je, en wie beheert ze? Vergeet oude of tijdelijke sites niet, zoals een actiesite van een paar jaar geleden.
2. Vraag je hostingpartij of webbouwer of ze de update al hebben geïnstalleerd, en zo niet, wanneer.
3. Installeer de update meteen als je de server zelf beheert: PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35, afhankelijk van de reeks die je gebruikt. Komt PHP uit je Linux-distributie of hostingpaneel, gebruik dan hun bijgewerkte pakketten. Herstart daarna PHP, zodat de nieuwe versie ook echt draait.
4. Draai je PHP 8.1 of ouder? Die versies worden niet meer onderhouden en krijgen geen gewone update. Het PHP-team heeft voor 7.4, 8.0 en 8.1 alleen een minimale reparatie in de broncode gepubliceerd, en sommige leveranciers verwerken die in hun eigen pakketten. Vraag je leverancier daarnaar, maar zie het als uitstel: upgraden naar een ondersteunde versie is de echte oplossing. Test dat wel eerst, want oudere plugins en thema’s werken niet altijd op een nieuwere versie. Let op: ook PHP 8.2 wordt na 31 december 2026 niet meer onderhouden.
5. Kun je nog niet updaten? Volgens het PHP-team is er geen maatregel die de lekken volledig afdekt; updaten is de enige veilige keuze. Kan dat echt niet meteen, overweeg dan de website tijdelijk offline te halen of af te schermen met een firewall voor webverkeer. Dat is een noodmaatregel en geen vervanging voor de update.
6. Houd je website extra in de gaten, ook na de update: onbekende beheerders, nieuwe bestanden of een website die zich anders gedraagt.

Pas op voor phishing

Bij nieuws als dit duiken vaak valse mails op, bijvoorbeeld van een “hostingpartij” die vraagt om in te loggen of een update te betalen. Klik niet op links in onverwachte mails, maar ga zelf naar de website of het klantenportaal van je hostingpartij, of bel ze. Lees ook ons artikel over phishing herkennen.

Waarom snel handelen zo belangrijk is

Inmiddels is aangetoond dat de lekken echt te misbruiken zijn, en melden beveiligingsbedrijven de eerste aanvallen. Bij lekken van deze omvang scannen aanvallers binnen enkele uren het hele internet op kwetsbare websites. Wie dan nog niet heeft bijgewerkt, loopt het meeste risico.

Een overgenomen website kan worden gebruikt om je bezoekers te besmetten, phishingpagina’s te hosten of gegevens uit je webwinkel of portaal te stelen. Gaat het om persoonsgegevens, dan is dat bovendien een datalek dat je moet melden. Lees daarover ons artikel over de meldplicht datalekken.

Hulp nodig?

Twijfel je of je website kwetsbaar is, of wil je dat iemand meekijkt? We helpen je graag. Wil je je website liever helemaal niet meer zelf bijhouden, kijk dan naar onze Secure WordPress Hosting. Of neem contact op, dan denken we met je mee.