Kritieke PHP-flaw: wereldwijde shutdown en noodpatch

Een kritieke PHP-fout die eind oktober 2026 aan het licht kwam, dwong overheden en bedrijven in Europa, Azië en Noord-Amerika websites offline te halen terwijl zij noodpatches installeerden. De twee kwetsbaarheden, samen bekend als PHP2Shell, treffen de opensource-taal die volgens de PHP Foundation ongeveer 70% van alle websites aandrijft.

Wat is de PHP2Shell-kwetsbaarheid?

De PHP Foundation maakte op 21 oktober 2026 twee remote-code-executionfouten bekend: CVE-2026-109618 en CVE-2026-109619. Beide hebben een CVSS-score van 9,2 en stellen niet-geauthenticeerde aanvallers in staat willekeurige code uit te voeren op kwetsbare servers. De bugs bestaan sinds PHP 5.4 en werden met hulp van AI-modellen ontdekt; volgens de stichting zijn het de belangrijkste PHP-kwetsbaarheden die ooit door AI zijn gevonden.

Noodpatches en wereldwijde reactie

Autoriteiten waaronder de NSA, FBI, het Britse NCSC en agentschappen in Singapore, Australië, Canada en de EU riepen beheerders op direct te patchen of systemen offline te halen. Het VK stuurde tienduizenden waarschuwingen uit om blootstelling in kaart te brengen. Meerdere overheidsportalen—Overheid.nl, DigiD, de Haven van Rotterdam, Finland's Valtori en de Parijse politieprefectuur—gingen uit voorzorg offline. Ook de Wikimedia Foundation schortte diensten kort op en hervatte na patching.

Welke systemen zijn getroffen?

PHP-versies 5.4 tot en met 8.5.11 zijn getroffen. Patches verschenen dezelfde dag in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Apache met mod_php is de meest blootgestelde configuratie, hoewel PHP-FPM, php-cgi, FrankenPHP en LiteSpeed ook kwetsbaar kunnen zijn. Organisaties moeten PHP-installaties inventariseren, internetgerichte systemen prioriteren, updates toepassen, containers verifiëren en logs controleren op exploitatie.

Hoe aanvallers de fout vóór openbaarmaking misbruikten

Amazon's MadPot-dreigingsintelligentieteam zag vier dagen vóór de publieke waarschuwing al exploitatiepogingen. Cloudflare meldde binnen enkele uren na openbaarmaking miljoenen exploitpogingen. Dane Knecht van Cloudflare waarschuwde dat firewallregels slechts een noodoplossing zijn en dat patchen essentieel blijft.

Impact en implicaties

De gecoördineerde offline-halingen onderstrepen de kwetsbaarheid van fundamentele internetsoftware. Omdat PHP bijna 70% van websites aandrijft, kan één set fouten openbare diensten, e-commerce en media ontwrichten. Traag updatende shared-hostingomgevingen en end-of-life PHP-versies blijven risico lopen. Er waren op vrijdag 23 oktober 2026 geen openbaar geverifieerde succesvolle compromissen bevestigd, maar beveiligingsteams blijven zoeken naar tekenen van inbraak.

FAQ: Noodpatches voor PHP2Shell

Wat is PHP2Shell?

PHP2Shell is de bijnaam voor twee kritieke PHP-kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, die niet-geauthenticeerde remote code execution mogelijk maken.

Welke PHP-versies zijn kwetsbaar?

Alle versies van 5.4 tot en met 8.5.11. Gepatchte releases zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35.

Waarom werden websites offline gehaald?

Veel organisaties stopten getroffen diensten uit voorzorg om misbruik vóór noodpatches te voorkomen, op advies van de NSA, FBI, NCSC en andere agentschappen.

Is de fout actief misbruikt?

Amazon detecteerde honeypot-exploitpogingen vóór openbaarmaking en Cloudflare zag miljoenen pogingen erna, maar op vrijdag 23 oktober 2026 waren geen openbaar geverifieerde succesvolle compromissen bevestigd.

Hoe bescherm ik mijn PHP-server?

Werk onmiddellijk bij naar een gepatchte versie, inventariseer PHP-installaties, prioriteer internetgerichte systemen en controleer logs op verdachte activiteit.

Conclusie

Het PHP2Shell-incident herinnert eraan dat de onderliggende infrastructuur van het web vaak door een kleine groep vrijwilligers en stichtingen wordt onderhouden. De noodpatchactie was breed, maar veerkracht op lange termijn vereist betere financiering, snellere update-adoptie en dieper gebruik van AI-gestuurde kwetsbaarheidsdetectie.