PHP2Shell: wat het kritieke PHP-lek voor jou betekent
Kort antwoord
PHP2Shell is de naam voor twee kritieke lekken in PHP, waarmee een aanvaller zonder in te loggen eigen code op een server kan uitvoeren. Het PHP-team bracht op 21 oktober 2026 de oplossing uit in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35: updaten is de enige echte oplossing. Voor de diensten van Easybrand is er geen directe impact, want we gebruiken in onze eigen systemen en websites geen PHP.
Kernpunten
- PHP2Shell bestaat uit twee kritieke lekken (CVE-2026-109618 en CVE-2026-109619), elk met een score van 9,2.
- Een aanvaller kan via de lekken zonder inloggegevens code uitvoeren op de server.
- Updaten naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 is de enige volledige oplossing.
- Easybrand gebruikt in eigen systemen en websites geen PHP: geen directe impact op onze diensten.
Update 22 oktober: alles werkt weer normaal
Bij de systemen van onze leveranciers lijkt alles weer goed te gaan. We verwachten geen verrassingen meer en hebben de melding op onze statuspagina afgesloten. We blijven alles wel in de gaten houden.
Voor onze eigen systemen en websites is er niets veranderd: die gebruiken geen PHP en hadden geen impact. Heb je zelf een website of systeem op PHP, dan blijft het advies hieronder gewoon staan: controleer of de update is geïnstalleerd. De afgesloten melding zie je op de statuspagina.
Wat is PHP2Shell?
PHP is een programmeertaal die op webservers draait. Een groot deel van de websites, webshops en klantportalen op internet gebruikt het, vaak zonder dat de eigenaar dat weet.
Op 20 oktober 2026 kondigde het PHP-team een beveiligingsupdate aan voor twee kritieke lekken, elk met een score van 9,2 op 10 (CVSS v4.0). Een dag later kwamen de updates uit. Volgens het PHP-team kan een aanvaller via de lekken zonder inloggegevens eigen code uitvoeren op de server. In het ergste geval krijgt een aanvaller zo de controle over een website of server.
De lekken zitten in PHP zelf, niet in een plugin of thema. Het PHP-team schat het risico het hoogst in bij servers die PHP via Apache mod_php draaien: daar werkt de aanval al voordat de code van de website zelf wordt uitgevoerd.
| Lek | Omschrijving | Ernst (CVSS v4.0) |
|---|---|---|
| CVE-2026-109618 | Code uitvoeren op afstand via geheugencorruptie (OOM corruption) | Kritiek, 9,2 |
| CVE-2026-109619 | Code uitvoeren op afstand via achtergebleven globale status (stale global state) | Kritiek, 9,2 |
Welke PHP-versies zijn kwetsbaar?
Volgens het NCSC zijn in ieder geval alle versies vanaf PHP 5 kwetsbaar. Het PHP-team heeft voor de ondersteunde versies een update uitgebracht. Die installeren is de enige volledige oplossing: er zijn geen tijdelijke maatregelen die het lek helemaal dichten.
| Versie | Update naar | Let op |
|---|---|---|
| PHP 8.5 | 8.5.12 of nieuwer | Ondersteund |
| PHP 8.4 | 8.4.27 of nieuwer | Ondersteund |
| PHP 8.3 | 8.3.36 of nieuwer | Ondersteund |
| PHP 8.2 | 8.2.35 of nieuwer | Krijgt na 31 december 2026 geen beveiligingsupdates meer |
| PHP 8.1 en ouder | Geen gewone update | Overstappen naar een ondersteunde versie, of je leverancier vragen |
Draai je PHP 8.1 of ouder? Het PHP-project brengt daarvoor geen gewone updates meer uit. De Amerikaanse cyberdienst CISA adviseert zulke systemen offline te halen tot ze zijn bijgewerkt.
Hoe staan onze diensten ervoor?
Vaste prijs vooraf. Reactie binnen 24 uur.
Wat betekent dit voor klanten van Easybrand?
Wij gebruiken in onze eigen systemen en websites geen PHP. Het lek heeft daarom geen directe impact op de veiligheid van de diensten van Easybrand. Je data, website en mail zijn veilig.
We werken wel samen met enkele leveranciers die mogelijk PHP gebruiken voor bepaalde systemen. Zij verwerken de update zo snel mogelijk en we staan nauw met hen in contact. Moet een leverancier tijdelijk systemen afsluiten of updaten, dan kan het zijn dat een tool even minder soepel werkt.
De actuele stand houden we bij op onze statuspagina. Vragen of twijfels? We zijn extra goed bereikbaar via WhatsApp, e-mail en telefoon; je vindt alles op de contactpagina.
Draait jouw website op PHP? Dit kun je nu doen
Heb je een website, webshop of systeem dat niet bij ons draait? Loop dan deze stappen na. Twijfel je ergens over, dan kijken we graag even met je mee.
- 1Zoek uit of je site PHP gebruiktVeel bekende contentmanagementsystemen, webshopsoftware en klantportalen draaien op PHP. Weet je het niet zeker, vraag het dan aan je webbouwer of hostingpartij.
- 2Vraag welke PHP-versie er draaitBij gedeelde hosting werkt de hostingpartij PHP bij. Vraag of jouw server al op 8.5.12, 8.4.27, 8.3.36 of 8.2.35 (of nieuwer) draait. Veel hosters melden dit onderhoud op hun eigen statuspagina.
- 3Beheer je zelf een server? Update directInstalleer de update van het PHP-team of de beveiligingsupdate van je Linux-distributie. Tot die tijd geldt volgens het NCSC elk systeem met PHP dat vanaf internet bereikbaar is als vermoedelijk kwetsbaar.
- 4Plan de overstap van PHP 8.1 of ouderDie versies krijgen vanuit het PHP-project geen gewone updates meer. Sommige Linux-distributies en leveranciers met langdurige ondersteuning leveren wel een oplossing. Vraag het na, of stap over naar een ondersteunde versie.
- 5Vergeet producten met ingebouwde PHP nietSommige softwarepakketten en apparaten hebben PHP ingebouwd. Daarvoor ben je afhankelijk van de leverancier, zegt het NCSC. Vraag na wanneer de update beschikbaar is.
Updaten is geen eenmalige klus. Een website draait op software die steeds nieuwe beveiligingsupdates krijgt, en die moet iemand bijhouden.
Wordt het lek al misbruikt?
Er is een publieke proof of concept: code die laat zien hoe de aanval werkt. Dat maakt misbruik makkelijker. Het NCSC en CISA hadden op 21 oktober nog geen actief misbruik gezien, maar beide adviseren om direct te updaten. Cloudflare blokkeert volgens de VRT al pogingen om het lek te misbruiken.
Intussen haalden veel organisaties uit voorzorg systemen offline. Volgens de VRT ging het in België onder meer om websites van de Vlaamse overheid, ziekenhuizen en Smartschool. In Nederland waren volgens de NOS onder meer MijnOverheid.nl en DigiD tijdelijk niet bereikbaar.
Hoe je een website ook na zo'n update veilig houdt, lees je in website-onderhoud en beveiliging.
Conclusie
PHP2Shell raakt een groot deel van het web, omdat het lek in PHP zelf zit. Voor klanten van Easybrand verandert er niets: onze eigen systemen en websites gebruiken geen PHP, en we volgen de leveranciers die het wel gebruiken op de voet. Heb je elders een website of systeem op PHP, vraag dan vandaag nog na of de update is geïnstalleerd. Bij nieuwe ontwikkelingen werken we dit bericht en de statuspagina bij.
Veelgestelde vragen
Is mijn website bij Easybrand kwetsbaar voor PHP2Shell?
Nee, niet direct. Wij gebruiken in onze eigen systemen en websites geen PHP, dus het lek heeft geen directe impact op de veiligheid van onze diensten. Wel kan een tool van een leverancier tijdelijk minder soepel werken als die systemen bijwerkt. De actuele stand staat op de statuspagina.
Moet ik als klant van Easybrand zelf iets doen?
Nee, je hoeft zelf niets te doen. Heb je vragen of twijfels, stuur ons dan een WhatsApp, mail of bel ons. Alle manieren staan op de contactpagina.
Hoe weet ik welke PHP-versie mijn website gebruikt?
In het controlepaneel van je hosting staat meestal per website welke PHP-versie draait. Je hostingpartij of webbouwer kan het je ook vertellen. Is de versie ouder dan 8.5.12, 8.4.27, 8.3.36 of 8.2.35 in dezelfde reeks, dan is er een update nodig.
Is er een tijdelijke oplossing zonder te updaten?
Niet een die het lek helemaal dicht. Het PHP-team en het NCSC zijn daar duidelijk over: alleen de beveiligingsupdate verhelpt de kwetsbaarheden volledig. Kan je systeem niet direct worden bijgewerkt, overleg dan met je hoster of beheerder of het tijdelijk offline moet.
Wat is PHP eigenlijk?
PHP is een programmeertaal die op de server draait en webpagina's opbouwt voordat ze naar je browser gaan. Veel websites, webshops en klantportalen gebruiken het, vaak zonder dat je daar als eigenaar iets van merkt.
Bronnen
Meer van Easybrand