PHP2Shell: twee kritieke PHP RCE-fouten verholpen

Op 21 oktober 2026 bracht het PHP-beveiligingsteam noodpatches uit voor PHP2Shell, twee kritieke remote code execution (RCE)-fouten: CVE-2026-109618 en CVE-2026-109619. Beide scoren 9,2 (kritiek) onder CVSS v4.0 en treffen PHP 5.4 tot en met 8.5, de taal achter ongeveer 69% van alle websites. Aanvallers hebben geen login nodig en activeren de fouten met één speciaal multipart/form-data-verzoek.

Wat is PHP2Shell?

PHP2Shell is de naam voor een exploitketen van twee geheugenveiligheidsfouten in PHP zelf. Ze werden ontdekt door Calif (met OpenAI) en Wiz; Calif meldde de eerste fout op 11 augustus 2026, Wiz op 24 augustus.

Bij een ernstige fout, meestal geheugentekort, geeft PHP geheugen vrij dat nog in gebruik is. Een aanvaller kan zo het volgende verzoek eigen code laten uitvoeren, vóór enige websitecode draait.

Kritieke PHP-beveiligingslekken tonen hoe lastig geheugenopschoning in langdurige webprocessen is.

Hoe de aanval werkt

CVE-2026-109618: RCE via OOM-corruptie

Dit lek ('RCE via OOM corruption') ontstaat bij het parsen van formulieruploads. Kunstmatige headers of lege bestandsvelden dwingen PHP uit de normale uitvoering; op Apache mod_php werkt volledige code-uitvoering met standaardlimieten.

CVE-2026-109619: RCE via verouderde globale staat

Het tweede lek ('RCE via stale global state') gebruikt geheugen na vrijgave. PHP bevestigde code-uitvoering via de fatal-error-backtrace op mod_php en via session-upload-progress op mod_php en PHP-FPM. Alle gangbare opstellingen zijn geraakt: PHP-FPM, mod_php (gevaarlijkst), php-cgi, FrankenPHP en LiteSpeed. Aanvallen zijn bevestigd op WordPress, Drupal, Magento, Joomla, Laravel, Symfony en WHMCS.

Wat is bevestigd en wat niet

Bevestigd

• Twee kritieke fouten in de PHP-kern, niet in een plugin of framework.
• Beide 9,2/10 (CVSS v4.0); noodpatches op 21 oktober 2026, 14:00 UTC.
• Niet-geauthenticeerde RCE bevestigd op mod_php en via het PHP-FPM-sessionpad.
• Exploitatie in het wild gezien; geen instelling biedt een volledige fix.

Gemeld, niet bevestigd door PHP

• Of elke genoemde applicatie kwetsbaar is, is niet per stuk bevestigd.
• CISA had de fouten niet als geëxploiteerd vermeld; schattingen noemen ruim 1,3 miljoen mogelijk kwetsbare hosts.

Wat te doen als je PHP draait

Experts: 'de enige mitigatie is patchen / upgraden van PHP', aldus Gina Peter Banyard.

1. Vind elke PHP-versie, inclusief CLI, PHP-FPM en Apache-modules.
2. Installeer PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35; volg adviezen van distributies en hosters.
3. Vertrouw niet op instellingen; workarounds blokkeren slechts delen. Cloudflare biedt firewallregels; offline halen is veiliger tot patch.
4. Controleer op compromittering: vreemde PHP-bestanden, nieuwe beheerders, ongewone uitgaande verbindingen en herstarts.

Waarom het ertoe doet

PHP draait blogs, winkels, forums, overheidsportalen en de meeste WordPress-sites. De fix onthult kwetsbare code, dus aanvallers kunnen snel exploits bouwen. Sansec waarschuwde dat massale exploitatie van webservers binnen minuten kon beginnen. Veel sites draaien nog end-of-life PHP 7 en 5. Op patchedag gingen enkele Europese overheidswebsites offline; Cloudflare zag 'vroege aanvallen opkomen'. Ook de beveiliging van certificaatautoriteiten kreeg die dag aparte aandacht.

FAQ

Wat is PHP2Shell?

Twee kritieke PHP-lekken, CVE-2026-109618 en CVE-2026-109619, die niet-geauthenticeerde RCE mogelijk maken op PHP 5.4–8.5.

Welke versies zijn getroffen?

Alle 5.4–8.5; gepatcht in 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Bronpatches voor 7.4, 8.0 en 8.1.

Hoe bescherm ik mijn server?

Update PHP direct. Geen instelling blokkeert alles; gebruik tijdelijke mitigaties alleen tot je kunt patchen.

Is PHP2Shell al geëxploiteerd?

Ja. Cloudflare meldde vroege pogingen; watchTowr zag exploitatie in honeypots op 21 oktober 2026.

Lost een WordPress- of pluginupdate het op?

Nee. Het lek zit in PHP zelf, onder alle applicatiecode. Update PHP, niet alleen CMS of plugins.