Zo test je je website veilig op PHP2Shell

WindowsMacBijgewerkt 2026-10-23

Het advies van het PHP-project van 21 oktober 2026 noemt de PHP-versies die PHP2Shell oplossen: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Die lijst is de test. Staat de PHP-versie van je site op of boven de fix voor zijn reeks, dan is de update waar het advies om vraagt geïnstalleerd. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

Vergelijk de PHP-versie van je site met de herstelde releases, lees de berichten van je hostingbedrijf en van de makers van software die je gebruikt, en zoek producten met ingebouwde PHP op in de lijst van het NCSC op GitHub. Een scanner vervangt dat niet. De oplossing is updaten, en test alleen sites die van jou zijn of waarvoor je toestemming hebt.

Wat zeggen de officiële bronnen dat je moet controleren?

Geen van de officiële adviezen die in deze gids worden genoemd, vraagt particulieren een scanner te gebruiken. Het PHP-advies zegt dat de kwetsbaarheden alle PHP-installaties raken die webverzoeken verwerken, en dat alleen een update een volledige oplossing is.

Het Nationaal Cyber Security Centrum (NCSC) zegt: wacht niet op signalen van misbruik, maar installeer de beschikbare beveiligingsupdates zo snel mogelijk. Controleer welke PHP-versie je gebruikt en volg de instructies van het NCSC en je softwareleverancier. Beheer je je IT-omgeving niet zelf, neem dan contact op met je hostingpartij of IT-leverancier. Voor organisaties heeft het NCSC een beslisboom gepubliceerd om na te gaan welke maatregelen passen.

Voor wie een blog, kleine webwinkel of clubsite heeft, komt dat neer op twee controles: de versie waarop je site draait, en de berichten van de bedrijven van wie je software of hosting gebruikt.

Hoe controleer ik mijn PHP-versie?

Je hebt het exacte nummer nodig, bijvoorbeeld 8.3.36, niet alleen "PHP 8". Onze gids de PHP-versie van je website controleren laat zien waar je het vindt in WordPress en in een hostingpaneel, en wat je je hostingbedrijf vraagt als je het niet ziet.

Het Britse NCSC voegt een waarschuwing toe die hier telt: beperk je zoektocht niet tot verouderde PHP-versies. Het schrijft dat organisaties die welke PHP-versie dan ook gebruiken, getroffen zijn. Ook een versie die recent lijkt, vergelijk je dus met de lijst herstelde versies.

En de berichten van mijn hostingbedrijf en andere leveranciers?

Je hostingbedrijf beheert de server, dus zijn bericht is vaak het duidelijkste antwoord dat je krijgt. Zoek naar een e-mail, een statuspagina of een supportartikel over het PHP-advies van 21 oktober, en controleer of daarin de herstelde versie staat voor de reeks die je site gebruikt. Staat er niets, vraag het dan.

PHP kan ook in andere producten zitten. Het NCSC schrijft op GitHub dat de impact niet beperkt is tot websites: PHP is ook ingebouwd in apparaten, netwerkapparatuur, beheerinterfaces en andere producten van leveranciers, waar beheerders PHP niet altijd zelf kunnen bijwerken. Het raadt aan zulke apparaten en ingebouwde omgevingen apart te controleren en de updates van de leverancier te installeren zodra ze er zijn. Heb je een NAS of een router met een beheerpagina in de browser, kijk dan in het beveiligingsadvies van de fabrikant. Onze gidsen over Synology en QNAP en over routers zetten op een rij wat bekend is.

Wat is de lijst van het NCSC op GitHub?

Het NCSC houdt een openbare repository bij op github.com/NCSC-NL/php2shell. In zijn alert schrijft het NCSC dat je daar technische informatie over de kwetsbaarheden vindt, dat de pagina doorlopend wordt bijgewerkt, en dat er een inventarisatie staat van PHP-gerelateerde softwareproducten om inzichtelijk te maken welke producten kwetsbaar zijn.

De repository noemt zichzelf operationele informatie over CVE-2026-109618 en CVE-2026-109619. Ze heeft drie delen: lijsten van softwareproducten met een PHP-afhankelijkheid die mogelijk getroffen zijn, materiaal voor detectie en mitigatie, en tools om de bestanden in de repository te maken. De tabel met de laatste updates toont datum, leverancier, product, versie, een status voor de twee kwetsbaarheden en links. Statussen zijn onder meer Fix, Vulnerable en Investigation. Volgens de README wordt de repository bijgewerkt naarmate de situatie zich ontwikkelt.

Zoek de producten die je gebruikt op leverancier en productnaam, en volg dan de link naar het advies van die leverancier voor de details. De README zegt nergens dat de lijst volledig is, dus een product dat ontbreekt, is daarmee niet veilig verklaard.

Kan een online scanner voor PHP-kwetsbaarheden zeggen of ik veilig ben?

Een deel, met grenzen. De algemene richtlijn van het Britse NCSC over kwetsbaarheidsscanners zegt dat infrastructuurscanners werken met "fingerprinting" of "banner grabbing": ze verzamelen gegevens over een systeem en vergelijken die met bekende kwetsbare producten. Volgens die richtlijn haalt geautomatiseerd scannen het niet bij handwerk zoals een penetratietest, gaan netwerkscanners voor breedte in plaats van diepte, en kunnen scanners vals-positieven geven, een gemelde kwetsbaarheid die er niet is, en vals-negatieven, een echte kwetsbaarheid die wordt gemist.

Een scanner hoort niet bij het advies van het PHP-project, en de oplossing in het advies is updaten. Wat een scan ook zegt, je moet nog steeds weten welke PHP-versie exact op je server staat en of die de herstelde release is. Zijn je scanner en je hostingbedrijf het oneens, vraag je hostingbedrijf dan de versie schriftelijk te bevestigen.

Mag ik een website testen op PHP2Shell?

Test alleen sites die van jou zijn of waarvoor je duidelijke toestemming hebt, en gebruik nooit aanvalscode tegen de site van een ander. Het Wetboek van Strafrecht regelt computervredebreuk in artikel 138ab. Het eerste lid begint zo, in de versie die sinds 1 juli 2026 geldt op wetten.overheid.nl: "Met gevangenisstraf van ten hoogste twee jaren of geldboete van de vierde categorie wordt, als schuldig aan computervredebreuk, gestraft hij die opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk of in een deel daarvan." Daarna noemt het lid vier gevallen waarin in ieder geval sprake is van binnendringen, en de volgende leden noemen hogere straffen in bepaalde gevallen, bijvoorbeeld als de dader daarna gegevens overneemt.

Deze gids zegt niet of een bepaalde test onder dit artikel valt. Twijfel je, vraag het dan eerst. Staat je site op de server van een hostingbedrijf, overleg dan met hen voordat je iets doet dat verder gaat dan een versiecontrole.

Meer vragen

Bestaat er een officiële scanner voor PHP2Shell?

Geen van de officiële pagina's hieronder biedt een scanner voor particulieren. De repository van het NCSC bevat materiaal voor detectie en mitigatie, maar de README beschrijft geen scanner. Het antwoord van het PHP-advies is bijwerken naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35.

Wordt PHP2Shell misbruikt?

Het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Volgens het NCSC laat verder onderzoek zien dat misbruik ingewikkeld is en dat de kans op grootschalig misbruik kleiner is dan eerder werd ingeschat. CERT-EU schrijft dat er eerste proofs of concept circuleren.

Mijn scan zegt dat mijn site kwetsbaar is. Wat nu?

Vergelijk je PHP-versie met de lijst herstelde versies en vraag je hostingbedrijf die te bevestigen. Is de versie niet hersteld, werk die dan bij of laat dat doen. Lijkt er op de site zelf iets mis, lees dan website gehackt: wat nu? voor het eerste uur.

Mijn hostingbedrijf zegt dat het is opgelost, maar een scanner niet. Wie heeft gelijk?

Scanners kunnen vals-positieven geven, volgens de scanrichtlijn van het Britse NCSC, en de fix hangt af van de PHP-versie op je server. Vraag je hostingbedrijf welke versie je site exact draait en vergelijk die zelf met de herstelde releases.

Lost een firewall PHP2Shell op?

Nee. CISA schrijft dat een web application firewall enige bescherming kan bieden tot systemen zijn bijgewerkt. Het PHP-advies zegt dat zijn tijdelijke maatregelen de blootstelling verkleinen maar een installatie niet veilig maken, en het NCSC dat alleen een beveiligingsupdate de kwetsbaarheden volledig verhelpt.