PHP-kwetsbaarheid PHP2Shell, wat betekent het voor jou?

MacWindowsiPhoneAndroidBijgewerkt 2026-10-24

PHP2Shell is de naam voor twee kritieke kwetsbaarheden in PHP, CVE-2026-109618 en CVE-2026-109619, die het PHP-project op 21 oktober 2026 heeft opgelost. PHP is een programmeertaal waar veel websites op draaien. Het Nationaal Cyber Security Centrum (NCSC) schrijft dat misbruik ertoe kan leiden dat aanvallers op afstand systemen overnemen. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

PHP2Shell zijn twee kritieke kwetsbaarheden in PHP, de taal achter veel websites. Ze zijn opgelost in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, uitgebracht op 21 oktober 2026. Heb je een website, controleer en update dan de PHP-versie. Heb je een NAS of router, volg dan het advies van de fabrikant. Bezoek je alleen websites, dan ligt de oplossing bij de eigenaar van de site.

Wat is PHP2Shell?

Het zijn twee losse fouten in PHP zelf, die samen bekend zijn gemaakt. Het NCSC schrijft in zijn advisory NCSC-2026-0443 dat ze zonder authenticatie op afstand kunnen worden misbruikt om willekeurige code uit te voeren. Iemand zou een server dus zijn eigen opdrachten kunnen laten uitvoeren zonder in te loggen. Het Amerikaanse agentschap CISA noemt ze "php2shell". Beide krijgen 9,2 op versie 4 van de CVSS-schaal, en het PHP-project noemt ze kritiek.

PHP draait op de server die jou een webpagina stuurt, niet op je telefoon of laptop. Volgens het PHP-advies zijn alle PHP-installaties getroffen die webverzoeken verwerken, en is het risico het grootst bij Apache met mod_php, waarvoor een aanval is aangetoond.

Welke PHP-versies lossen het op?

Het PHP-project bracht op 21 oktober 2026 vier herstelde versies uit:

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

De releasenotes zeggen dat er geen volledige tijdelijke oplossing bestaat en dat updaten de enige veilige keuze is. Het NCSC schrijft hetzelfde: tijdelijke maatregelen beperken alleen bepaalde aanvalspaden, en alleen een beveiligingsupdate verhelpt de kwetsbaarheden volledig.

PHP 8.1 en ouder worden niet meer regulier door het PHP-project ondersteund. Voor PHP 7.4, 8.0 en 8.1 heeft het PHP-team wel minimale broncodepatches uitgebracht, bedoeld voor wie PHP zelf uit de broncode bouwt of geen LTS-leverancier heeft. Wie een Linux-distributie of LTS-versie gebruikt, volgt volgens het NCSC de updates van die leverancier.

Wie wordt er als gewone gebruiker door geraakt?

De meeste mensen komen nooit rechtstreeks met PHP in aanraking. Het raakt je in drie situaties.

Je hebt of beheert een website. Een blog, kleine webwinkel of clubsite op WordPress draait waarschijnlijk op PHP. Begin met de PHP-versie van je website controleren en lees daarna PHP updaten in WordPress. Lijkt er al iets mis, lees dan website gehackt: wat nu?

Je hebt een NAS, router of ander apparaat met een beheerpagina in de browser. Op veiliginternetten.nl schreef het NCSC dat PHP ook wordt gebruikt in netwerkapparaten en in webinterfaces waarmee beheerders apparaatinstellingen via een browser aanpassen. Het NCSC houdt op GitHub een lijst bij van softwareproducten met een PHP-afhankelijkheid die mogelijk getroffen zijn. Zie ook onze gids over Synology en QNAP en, voor je eigen computer, PHP op de Mac.

Je bezoekt websites of koopt online. De kwetsbaarheden zitten op servers, dus de oplossing ligt bij de eigenaar van de site. Twee vragen komen vaak terug: kun je gehackt worden door een website te bezoeken? en zijn mijn persoonsgegevens in gevaar?

Waarom gingen websites offline?

Op 21 oktober haalden veel organisaties hun website uit voorzorg offline. Volgens veiliginternetten.nl waren onder andere DigiD, MijnOverheid, de website van de Tweede Kamer en NCSC.nl zelf niet bereikbaar. Op 22 oktober meldde de site dat alle overheidswebsites die offline waren weer bereikbaar zijn.

In België legde Safeonweb uit dat ook die site enkele uren offline was om de updates veilig te kunnen installeren. Zodra bekend werd waar de problemen precies zaten, konden ook criminelen proberen er misbruik van te maken.

Wordt de kwetsbaarheid misbruikt?

Dit zeggen de officiële bronnen, bijgewerkt tot 23 oktober 2026.

Het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Volgens het NCSC laat verder onderzoek zien dat misbruik ingewikkeld is en dat de kans op grootschalig misbruik kleiner is dan eerder werd ingeschat.
Het Belgische Centrum voor Cybersecurity (CCB) had op 22 oktober, volgens Safeonweb, nog geen meldingen ontvangen van websites die hierdoor gehackt zijn. Safeonweb schrijft er wel bij dat niet volledig kan worden uitgesloten dat er ergens misbruik is gemaakt.
In zijn waarschuwing van 21 oktober, herzien op 23 oktober 2026, schrijft CISA dat het op het moment van publicatie geen geslaagd misbruik van deze kwetsbaarheden in de praktijk ("in the wild") heeft waargenomen.
CERT-EU, de cyberdienst van de EU-instellingen, schrijft dat er eerste proofs of concept circuleren, wat volgens CERT-EU de kans vergroot dat aanvallers de kwetsbaarheden al misbruiken.
Het advies van QNAP van 22 oktober meldt dat pogingen tot misbruik van PHP publiekelijk zijn gerapporteerd.

Een proof of concept laat zien dat een aanval werkt. Een poging is iemand die de aanval naar een server stuurt om te zien of het lukt. Geen van beide zegt dat een bepaalde website is binnengedrongen of dat jouw gegevens zijn meegenomen. Het advies van het NCSC blijft: installeer de updates zo snel mogelijk, en wacht niet op signalen van misbruik.

Wat moet ik nu doen?

Heb je een website:

Zoek uit welke PHP-versie je site gebruikt. De PHP-versie van je website controleren laat zien waar.
Update naar een herstelde versie, of vraag je hostingpartij of dat al is gebeurd. Het NCSC zegt: beheer je je IT niet zelf, neem dan contact op met je hostingpartij of IT-leverancier.
Kan dat niet meteen, houd kwetsbare systemen dan volgens het NCSC uit voorzorg offline tot de updates zijn doorgevoerd. Het NCSC heeft voor organisaties een beslisboom gepubliceerd om na te gaan welke maatregelen passen.

Heb je een NAS, router of vergelijkbaar apparaat, kijk dan in het beveiligingsadvies van de fabrikant voor jouw model en installeer de update die het aanbiedt.

Ben je bezoeker of klant, dan hoef je vanwege PHP2Shell niets te installeren. Safeonweb schrijft voor dit specifieke probleem hetzelfde, en raadt aan alert te blijven op verdachte berichten en links, nooit je wachtwoorden of beveiligingscodes te delen en je smartphone en computer regelmatig bij te werken.

Is er een derde PHP-kwetsbaarheid?

Er is een verwante, veel kleinere. Op 23 oktober publiceerde het PHP-project een informatief advies over CVE-2026-115560. Het probleem kan alleen optreden bij een ongebruikelijke combinatie van instellingen en code, en het PHP-project noemt dat in de praktijk onwaarschijnlijk. Het NCSC schrijft dat remote code execution via deze kwetsbaarheid volgens PHP onwaarschijnlijk is, en dat de fix in een volgende reguliere bugfix-release komt. Tot die tijd adviseert PHP om session.upload_progress.enabled op 0 te zetten.

Meer vragen

Is PHP2Shell een virus?

Nee. Het is de naam voor twee kwetsbaarheden in PHP, de software die veel webservers gebruiken. De oplossing is een PHP-update, die de eigenaar van de server of de hostingpartij installeert. Je hoeft er op je eigen apparaat niet naar te zoeken.

Moet ik PHP op mijn computer updaten?

Waarschijnlijk niet. PHP draait op webservers, en het PHP-advies gaat over installaties die webverzoeken verwerken. Heb je PHP zelf geïnstalleerd om websites te bouwen, update het dan. Onze gids over PHP op de Mac gaat daar verder op in.

Wat betekent CVSS 9,2?

CVSS is een schaal om de ernst van een beveiligingsfout te beoordelen. Het PHP-project geeft beide kwetsbaarheden 9,2 volgens CVSS-versie 4 en noemt ze kritiek. Het NCSC, het CCB, CERT-EU en CISA behandelen ze ook als kritiek.

Is er al iemand gehackt met PHP2Shell?

Geen van de officiële bronnen hieronder geeft tot 23 oktober 2026 een aantal gehackte sites. Het NCSC kent één onbevestigde melding van mogelijk misbruik in het buitenland, en het CCB had op 22 oktober nog geen meldingen van gehackte websites.