Kun je gehackt worden door een website te bezoeken? Wat PHP2Shell betekent voor bezoekers

MacWindowsiPhoneAndroidBijgewerkt 2026-10-31

PHP2Shell is een fout in de software die op de server van een website draait, niet op je telefoon of computer. Een PHP-site bezoeken stelt je apparaat niet bloot aan de fout zelf. Het risico voor bezoekers komt later, als aanvallers een site overnemen en veranderen wat die je laat zien. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

De PHP-kwetsbaarheden die op 21 oktober 2026 bekend werden, raken PHP-installaties die webverzoeken verwerken, dus webservers. Een bezoek laat geen PHP op je apparaat draaien. Google zegt wel dat gehackte sites bezoekers kunnen doorsturen naar schadelijke pagina's, phishingpagina's kunnen hosten of software kunnen proberen te installeren. Houd je browser bijgewerkt, wees zuinig met downloads en controleer het adres voordat je inlogt.

Wat betekent een PHP-fout op een website voor bezoekers?

De fout zit op de server van de site. De PHP-handleiding legt uit dat PHP-code op de server wordt uitgevoerd, die HTML maakt en naar je browser stuurt. Je browser krijgt het resultaat en ziet de PHP-code nooit. Het advies van het NCSC richt zich op wie PHP gebruikt in websites, webapplicaties of netwerkapparatuur: installeer de updates zo snel mogelijk.

Het Belgische Safeonweb schreef op 22 oktober dat je voor dit specifieke beveiligingsprobleem zelf niets hoeft te doen. Voor een bezoeker telt PHP2Shell pas als een site die je gebruikt wordt overgenomen, omdat dan kan veranderen wat die site je laat zien.

Wat kan een gehackte website bezoekers aandoen?

De richtlijnen van Google voor site-eigenaren beschrijven wat aanvallers doen als ze toegang tot een site hebben:

Bestaande pagina's aanpassen. Google zegt dat hackers schadelijke code in bestaande pagina's kunnen injecteren.
Je ergens anders heen sturen. Volgens Google kan geïnjecteerde code sommige gebruikers doorsturen naar schadelijke of spampagina's.
Nieuwe pagina's toevoegen. Google zegt dat hackers pagina's met spam of schadelijke inhoud kunnen toevoegen, vaak voor phishing.
Software proberen te installeren. Google zegt dat gehackte inhoud mogelijk schadelijke software op apparaten van gebruikers kan installeren, en toont een voorbeeld van een misleidende pop-up die iemand malware moet laten installeren.
Om je wachtwoord vragen. Google zegt dat phishingsites er precies zo uit kunnen zien als de echte site, en dat hackers onschuldige sites kunnen overnemen om zulke inhoud te hosten.

Een aantal hiervan werkt alleen als jij iets doet, zoals een download accepteren of een wachtwoord op een nepsite intikken. Om die momenten draaien de stappen hieronder.

Waarschuwt mijn browser voor een gevaarlijke site?

Misschien. Elke grote browser heeft eigen waarschuwingen:

Safari op de Mac. Kies Safari > Instellingen en klik op Beveiliging. Apple zegt dat je met "Waarschuw bij bezoeken van frauduleuze website" een waarschuwing krijgt als de site een mogelijke phishingwebsite is.
Chrome. Google zegt dat Chrome een rode waarschuwing Gevaarlijke site kan tonen bij sites met phishing, malware, ongewenste software of social engineering, en raadt aan zo'n site niet te bezoeken. Op een computer vind je het beveiligingsniveau onder Meer > Instellingen > Privacy en beveiliging > Beveiliging, bij Safe Browsing.
Microsoft Edge. Microsoft zegt dat SmartScreen sites vergelijkt met een lijst van gemelde phishingsites en sites met schadelijke software, en downloads met programma's waarvan bekend is dat ze onveilig zijn. Bij een overeenkomst meldt SmartScreen dat de site of download voor je veiligheid is geblokkeerd.

Die lijsten werken met meldingen. Microsoft laat je zelf een site als onveilig melden als SmartScreen niet waarschuwde. Geen waarschuwing betekent dus alleen dat er geen waarschuwing is, niet dat een site veilig is.

Hoe bescherm ik mezelf als ik websites bezoek?

Een paar gewoontes dekken de meeste risico's die Google beschrijft.

Houd je browser en apparaat bijgewerkt. Safeonweb raadt aan je smartphone en computer regelmatig bij te werken.
Download niets waar je niet zelf naar zocht. Apple schrijft dat de App Store de veiligste plek is om apps voor je Mac te krijgen. Op een Mac waarschuwt Apple dat software die niet is ondertekend en niet is genotariseerd je computer en persoonlijke gegevens kan blootstellen aan malware.
Controleer het adres voordat je een wachtwoord intikt. Apple noemt als signaal een link die er goed uitziet, maar waarvan de URL niet overeenkomt met de website van het bedrijf. Veiliginternetten.nl zegt: houd op je computer de cursor op de link zonder te klikken, en houd op je telefoon de link een paar seconden ingedrukt.
Gebruik een wachtwoordmanager. Volgens veiliginternetten.nl kan een wachtwoordmanager voor elk account een ander wachtwoord onthouden en een veilig wachtwoord voorstellen.
Zet tweestapsverificatie aan. Veiliginternetten.nl schrijft dat een crimineel zonder de tweede factor niet verder kan, ook als je per ongeluk je wachtwoord aan een nepwebsite gaf.

Wat als ik al een wachtwoord heb ingevuld of iets heb gedownload?

Veiliginternetten.nl geeft deze stappen als je op een valse link hebt geklikt:

Geef geen verdere gegevens en deel geen bankgegevens.
Koppel je apparaat los van internet.
Voer een virusscan uit met de nieuwste versie van je virusscanner, terwijl de verbinding nog verbroken is.
Denk je dat je op een nepwebsite hebt ingelogd, wijzig dan direct je wachtwoord, en ook op andere sites waar je hetzelfde wachtwoord gebruikt.
Neem direct contact op met je bank of de betrokken organisatie en leg de situatie uit.

Ben je slachtoffer van cybercrime, dan kun je volgens politie.nl aangifte doen via 0900-8844 of op een politiebureau. Veiliginternetten.nl raadt aan ook een melding te doen bij de Fraudehelpdesk. In België verwijst Safeonweb slachtoffers van oplichters naar zijn pagina safeonweb.be/nl/opgelicht.

Waar Failshot past

Failshot is een tweede beveiligingslaag voor je Mac, voor een ander moment: iemand die je Mac in persoon gebruikt. Je wachtwoord is de eerste laag, en Failshot is de laag daarna. Als het aan staat, maakt het foto's van wie je Mac ontgrendelt en neemt het met Pro daarna een video van 5 seconden op, en het venster van Failshot laat die persoon weten dat de ontgrendeling is gefotografeerd. Om het uit te zetten, of te stoppen via het menu, is Touch ID of je Failshot-pincode met je antwoord nodig, nooit je Mac-wachtwoord.

De Mac-app is gratis te downloaden op failshot.app, voor macOS 14 of later. Gratis te gebruiken. Pro voegt video, e-mailmeldingen en de versleutelde kluis toe. Probeer Failshot Pro voor de Mac 7 dagen gratis op failshot.app. Je kaart wordt bij het aanmelden vastgelegd en op dag 8 belast, tenzij je opzegt. De app is in het Engels, en de versies voor iPhone, Android en Windows komen binnenkort.

Meer vragen

Is het veilig om een website te bezoeken die door de PHP-kwetsbaarheid is geraakt?

De fout zit op de server van de website, en de PHP-handleiding zegt dat PHP op de server draait, niet in je browser. Het risico voor bezoekers is een site die is overgenomen. Wees daar voorzichtig met onverwachte downloads, doorverwijzingen en inlogvragen.

Kan ik zien of een website PHP gebruikt?

Niet betrouwbaar. De PHP-handleiding zegt dat een webserver zo kan worden ingesteld dat al zijn pagina's door PHP worden verwerkt, en dat gebruikers dan niet kunnen zien dat PHP wordt gebruikt.

Weet een site-eigenaar altijd dat zijn site gehackt is?

Niet altijd. Google zegt dat het bij een gehackte site niet ongewoon is dat de hacker cloaking gebruikt, zodat de eigenaar de hack moeilijker ontdekt. Voorzichtigheid met downloads en wachtwoorden geldt dus ook op sites die je kent.

Is PHP2Shell al tegen websites gebruikt?

Het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Het Belgische CCB had op 22 oktober, volgens Safeonweb, nog geen meldingen ontvangen van websites die hierdoor gehackt zijn.

Raakt dit mijn telefoon?

Niet rechtstreeks. PHP2Shell raakt PHP-installaties die webverzoeken verwerken, dus servers, geen telefoons. Een gehackte site kan op elk apparaat een nep-inlogpagina of download tonen, dus dezelfde gewoontes gelden: bijwerken, adressen controleren en tweestapsverificatie gebruiken.