Wat is PHP2Shell en wat moet je nu doen?

PHP2Shell is de naam van twee kritieke lekken in PHP. Een aanvaller kan er code mee uitvoeren op je server. De PHP Foundation bracht de oplossing uit op woensdag 21 oktober 2026 om 16:00 Nederlandse tijd. Laat je website zo snel mogelijk bijwerken door je hostingpartij of je developer.

Update 22 oktober 2026: Sansec stelt het beeld bij. Een massale aanvalsgolf is minder waarschijnlijk dan op 21 oktober werd gedacht. De openbare exploits werken niet tegen een standaard PHP installatie en hebben meestal een extra lek in de website zelf nodig. Sansec schrijft nu dat je je website niet offline hoeft te halen. Updaten blijft wel nodig. De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.

De twee kwetsbaarheden heten CVE-2026-109618 en CVE-2026-109619. Het PHP beveiligingsteam geeft ze allebei een score van 9,2 op een schaal van 10. Dat is bijna het maximum. Volgens beveiligingsbedrijf Sansec raken ze elke webserver met PHP 5.4 of nieuwer.

Ruim zeven op de tien websites ter wereld draaien op PHP. Jouw WordPress site, je webshop en je bedrijfswebsite vallen daar vrijwel zeker onder. Daarom stond half Nederland op 21 oktober in de hoogste staat van paraatheid.

Wat is er precies aan de hand?

Informatie over de lekken lekte uit voordat de oplossing klaar was. Daardoor kregen aanvallers een voorsprong. Op 20 oktober verscheen een bericht op Hacker News over twee aankomende PHP lekken. Beveiligingsbedrijf watchTowr bevestigde dat het om echte kwetsbaarheden gaat en kreeg er zelf een aan het werk. Een screenshot van een aanvalstool met de naam PHP2Shell lekte mee. Op 21 oktober om 07:43 UTC meldde Cloudflare de eerste aanvallen op PHP websites.

De PHP Foundation bracht de beveiligingsrelease daarom uit op 21 oktober om 14:00 UTC, dat is 16:00 Nederlandse tijd. Op 21 oktober verwachtte Sansec grootschalige aanvallen vlak na die release. Een dag later stelde Sansec dat beeld bij, omdat de openbare exploits niet werken tegen een standaard PHP installatie.

Hoe gevaarlijk is dit voor jouw website?

De korte versie: dit is het zwaarste type lek dat er bestaat. Het gaat om remote code execution. Een aanvaller stuurt een verzoek naar je website en voert daarmee zijn eigen code uit op je server. Hij heeft daarvoor geen wachtwoord nodig en hoeft niet ingelogd te zijn. Vanaf dat moment kan hij bestanden lezen, een achterdeur plaatsen of je hele site overnemen.

PHP verwerkt de aanvraag bovendien voordat jouw website zelf iets doet. Een onderhoudspagina in WordPress helpt dus niet. Of je nu een plugin hebt of niet maakt ook geen verschil. Het zit in PHP zelf, en daarom kun je het alleen op serverniveau oplossen. Lees hoe je controleert of jouw website gevaar loopt door het PHP lek.

Wie ging er uit voorzorg offline?

Een flink aantal bekende Nederlandse sites haalde op 21 oktober de stekker eruit. Het Nationaal Cyber Security Centrum zette ncsc.nl offline. Op de site staat dat dit uit voorzorg gebeurt vanwege de kwetsbaarheden in PHP. Ook Security.NL ging in onderhoudsmodus, net als techsite Tweakers en de website van de Tweede Kamer. Meer daarover lees je in waarom NCSC, Tweakers en de Tweede Kamer offline gingen.

Wat moet je nu doen?

Werk in deze volgorde, en laat het niet liggen.

Bel of mail je hostingpartij

De meeste websites draaien op gedeelde hosting. Dan zet jouw hostingpartij de update klaar, niet jij. Vraag of ze de update van 21 oktober al hebben geinstalleerd. In wat je je hostingpartij vraagt over het PHP lek staan de vragen die je kunt stellen.

Controleer je PHP versie

Weet je niet welke PHP versie je draait? Dan weet je ook niet of je straks een oplossing krijgt. PHP ondersteunt alleen versie 8.2 en nieuwer. Zie hoe je controleert welke PHP versie je website gebruikt.

Overweeg je site tijdelijk offline te halen

Kun je een dag zonder je website? Sansec zegt sinds 22 oktober dat offline halen niet meer nodig is. Blijft je hostingpartij stil en draai je een oude PHP versie, dan blijft tijdelijk sluiten een verstandige noodgreep. Lees wanneer dat verstandig is in moet ik mijn website tijdelijk offline halen.

Wat kun je zelf doen zonder technische kennis?

Niet heel veel, en dat is eerlijk gezegd ook prima. De oplossingen die beveiligingsonderzoekers noemen, grijpen diep in op de webserver. Denk aan het blokkeren van formulierverkeer of het stoppen van PHP. Doe dat niet zelf als je geen developer bent, want je legt je website er zo mee plat.

Wat je wel kunt doen is dit. Zet de update in gang bij je hostingpartij, houd je website in de gaten en maak een back-up die niet op dezelfde server staat. Daarnaast helpt een dienst als Cloudflare als tijdelijke rem. Of dat genoeg is, lees je in helpt Cloudflare tegen het PHP lek.

Hoe weet je of het al mis is gegaan?

Let op signalen die je ook zonder technische kennis ziet. Denk aan vreemde bestanden, onbekende beheerders, doorverwijzingen naar andere sites of een waarschuwing in Google. In hoe je weet of je website gehackt is staan de signalen op een rij. Zie je iets verdachts, lees dan wat je doet als je website gehackt is en schakel direct je developer in.

Waarom schrijf ik hierover?

Ik ben SEO specialist, geen beveiligingsexpert. Toch raakt dit mijn werk direct. Ik werk ruim vijf jaar in SEO, waarvan meer dan drie jaar als zelfstandig specialist vanuit Raalte, en ik werkte met meer dan 75 klanten. Een gehackte website verliest vaak binnen enkele dagen zijn plek in Google. Soms komt er een waarschuwing in de zoekresultaten te staan. Dat herstellen kost maanden. Wat een hack met je vindbaarheid doet, lees je in wat een hack met je vindbaarheid in Google doet.

De informatie in dit artikel komt van de PHP Foundation, het onderzoek van Sansec van 21 oktober 2026 en de meldingen van het NCSC. Technische stappen laat ik over aan je developer of hostingpartij, want zij kennen jouw server.

Wat er op 22 oktober bekend werd

Een dag na de patch is het beeld rustiger, maar niet rustig. Sansec meldt op 22 oktober 2026 dat de openbare exploits niet werken tegen een standaard PHP installatie. De meeste hebben een extra lek in de website zelf nodig. Een aanval vraagt dus kennis van juist jouw server, en dat maakt een massale golf minder waarschijnlijk.

Toch begon het eerder dan gedacht. Amazon zag de eerste aanvalspogingen al op 17 oktober, vier dagen voordat het lek openbaar werd. Dat meldt Security.NL op 22 oktober 2026. De pogingen kwamen van een anoniem ip adres.

Er speelt nog iets. CVE-2026-109618 lekt ook geheugen van de server. Volgens Sansec kan dat wachtwoorden, sessietokens, api sleutels en zelfs TLS sleutels van andere bezoekers bevatten. Dat lek loopt via de sessiecookie en werkt ook als jouw website zelf nooit een sessie start.

En het blijft niet bij websites. QNAP adviseert kwetsbare NAS systemen offline te halen en Palo Alto Networks meldt dat een deel van zijn firewalls kwetsbaar is. Cisco en Fortinet onderzoeken het nog. Ook dat meldt Security.NL op 22 oktober 2026.

De Nederlandse sites die dinsdag dichtgingen staan inmiddels weer online. DigiD, MijnOverheid, Overheid.nl, Tweakers, Security.NL en het NCSC zijn bereikbaar. In de Tweede Kamer zijn wel vragen gesteld over het offline halen van die overheidssites.

Veelgestelde vragen over het PHP lek

Ik licht graag een aantal veelgestelde vragen toe: Hoe weet ik of mijn website PHP gebruikt?

Vrijwel zeker wel. WordPress, WooCommerce, Magento, Shopware, Joomla en Drupal draaien allemaal op PHP. Twijfel je, vraag het dan aan je hostingpartij.

Mijn website is klein, ben ik dan interessant?

Ja. Aanvallers zoeken automatisch het hele internet af. Ze kijken niet naar de omvang van je bedrijf, alleen naar een open deur.

Is updaten genoeg?

Als je op tijd bent wel. Was je al geraakt, dan blijft een achterdeur bestaan na de update. Laat je site dan ook controleren.

Kost die update mij iets?

Bij de meeste hostingpartijen niet. Zij voeren het uit als onderdeel van het onderhoud.

Vermoed je dat er iets mis is met je website? Neem dan direct contact op met je developer of hostingpartij. Heb je een algemenere vraag over je website, stuur me gerust een bericht. Meer over mijn werk vind je op jessecommandeur.nl.

Schreef eerder voor

• 
• 
• 
•