PHP2Shell: kritieke PHP-fout en wereldwijde uitval

Een kritieke kwetsbaarheid in PHP, de programmeertaal achter bijna 70% van alle websites, heeft wereldwijd overheidsdiensten offline gehaald en noodpatches uitgelokt. Onderzoekers bevestigden dat de fouten meer dan tien jaar onopgemerkt bleven. De bugs, PHP2Shell genoemd en geregistreerd als CVE-2026-109618 en CVE-2026-109619, maken ongeauthenticeerde remote code execution mogelijk: aanvallers kunnen webservers overnemen zonder voorafgaande toegang of authenticatie.

Wat is PHP2Shell?

PHP2Shell is de verzamelnaam voor twee kritieke kwetsbaarheden in de PHP-engine zelf, niet in gehoste applicaties of configuraties. Omdat PHP op vrijwel alle besturingssystemen draait en in HTML wordt ingebed voor dynamische pagina’s, zijn servers met getroffen versies exploiteerbaar ongeacht de websitecode. De PHP Foundation bracht op 21 oktober 2026 patches uit: 8.5.12, 8.4.27, 8.3.36 en 8.2.35, nadat details op sociale media uitlekten, aldus de BBC. De fouten treffen naar schatting 70% van de websites, al is dat cijfer niet geverifieerd. Dit incident onderstreept hoe één zwakke plek in open-source webinfrastructuur wereldwijd publieke en private systemen kan raken.

Wereldwijde overheids-shutdowns

Binnen enkele uren na de bekendmaking namen meerdere Europese overheden en agentschappen diensten offline uit voorzorg. De Guardian meldde dat Belgische, Nederlandse, Finse, Franse en Duitse overheidssites tijdelijk werden uitgeschakeld, net als Australische systemen en de Nederlandse nationale digitale identiteitsdienst. Finland stopte publieke overheidswebsites; Nederland haalde sites van de gezondheidsdienst en het parlement offline. Britse gemeentesites en 32 overheidsdiensten waren kort onbereikbaar; de site van Edinburgh Council ging down. Wikimedia nam meerdere systemen offline, waardoor delen van Wikipedia kort uitvielen. Deze voorzorgsmaatregelen tonen hoe overheidscybersecurity nu isolatie boven beschikbaarheid stelt.

Noodpatches en officiële waarschuwingen

De Amerikaanse National Security Agency adviseerde dringend PHP2Shell te patchen en waarschuwde dat aanvallers data kunnen stelen, diensten kunnen verstoren of dieper in netwerken kunnen doordringen. De NSA zei dat organisaties die niet direct kunnen patchen systemen offline moeten halen. Het Britse National Cyber Security Centre stuurde 50.000 waarschuwingen en adviseerde te controleren op backdoors; de schaal werd ongeëvenaard genoemd. CERT-EU waarschuwde voor mogelijke ongeauthenticeerde remote code execution. Beide fouten scoren 9,2 op 10 op de CVSS-schaal. Beveiligingsdiensten adviseren internetgerichte apparaten te inventariseren, kwetsbare PHP-versies in kaart te brengen, leverancierspatches prioriteit te geven en end-of-life PHP te vervangen. Dit hoort nu bij standaard PHP-patching voor kritieke infrastructuur.

AI-ontdekking en race naar misbruik

Onderzoekers van Wiz en Calif vonden de kwetsbaarheden met OpenAI’s Patch the Planet AI-tools. Een geheugenbeheerfout werd in 2024 vermoed en in augustus 2026 bevestigd met modellen als GPT-5.6 Sol en Gemini 4 Argon. De bugs bleven ruim tien jaar onopgemerkt. Cloudflare registreerde tien uur voor de bekendmaking duizenden exploitpogingen; binnen 45 minuten na de aankondiging liepen die op tot tienduizenden, na twee uur tot honderdduizenden en op 22 oktober tot miljoenen. Amazon Threat Intelligence sprak van brede exploitatie in het wild. Deze snelle escalatie laat zien hoe AI-kwetsbaarheidsonderzoek het venster tussen melding en misbruik kan verkorten: verdedigers moeten binnen minuten reageren.

FAQ

Wat is de kritieke PHP-fout?

Het zijn twee ongeauthenticeerde remote-code-execution-kwetsbaarheden, PHP2Shell genoemd en geregistreerd als CVE-2026-109618 en CVE-2026-109619, die bijna 70% van de websites treffen.

Welke landen haalden overheidswebsites offline?

België, Nederland, Finland, Frankrijk, Duitsland, Australië en het Verenigd Koninkrijk namen diensten offline of gaven noodadvies, aldus de Guardian en BBC.

Hoe verhelp ik de PHP-kwetsbaarheid?

Upgrade direct naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Is patchen niet mogelijk, haal getroffen systemen offline en controleer op backdoors.

Waarom is PHP2Shell zo gevaarlijk?

Aanvallers kunnen zonder authenticatie code op een server uitvoeren, wat kan leiden tot datadiefstal, dienstverstoring en diepere netwerkinbraken.

Is AI gebruikt om de fout te vinden?

Ja, onderzoekers van Wiz en Calif gebruikten OpenAI’s Patch the Planet AI-tools; de fout werd beschreven als de belangrijkste die AI ooit vond.

Conclusie en vooruitzicht

PHP2Shell toont dat één kwetsbaarheid in breed gebruikte open-source software publieke diensten op meerdere continenten kan ontregelen en noodpatches op nationale schaal kan veroorzaken. Beveiligingsanalisten vrezen een lange nasleep van onbeheerde, permanent kwetsbare sites. Verbetering van webserverbeveiliging en minder afhankelijkheid van niet-ondersteunde PHP-versies zijn essentieel om vergelijkbare massale compromittering te voorkomen.