PHP-kwetsbaarheid en de Mac: staat PHP op je Mac?

MacBijgewerkt 2026-10-31

PHP2Shell raakt je Mac alleen als PHP erop staat, en de PHP-handleiding zegt dat PHP sinds macOS 12 Monterey niet meer met macOS wordt meegeleverd. Op een recente Mac staat het dus alleen als jij het hebt toegevoegd, of een tool die je installeerde. Terminal vertelt het je met één opdracht. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

Het PHP-advies van 21 oktober 2026 gaat over twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, in PHP-installaties die webverzoeken verwerken. De PHP-handleiding zegt dat macOS sinds macOS 12 Monterey geen PHP meer meelevert. Open Terminal en typ php -v. Verschijnt er een versie, werk die dan bij naar een herstelde versie, op de manier waarop je PHP hebt geïnstalleerd.

Wordt macOS met PHP geleverd?

Recente versies niet, volgens de PHP-handleiding. Die zegt dat PHP bij macOS 10 en 11 werd meegeleverd, maar niet meer sinds macOS 12 Monterey, en dat je het op recente versies installeert met pakketten van derden of door het zelf vanuit de broncode te compileren.

De releasenotes van Apple die we bekeken, noemen PHP niet. Die van macOS Catalina 10.15 noemen alleen Python, Ruby en Perl als scripttalen die toekomstige versies niet meer standaard zouden bevatten. Een controle op je eigen Mac geeft uitsluitsel.

Hoe controleer ik of PHP op mijn Mac staat?

Met Terminal. De PHP-handleiding zegt dat php -v in een shell laat zien of PHP de CLI- of CGI-versie is, en de opdracht toont daarbij het versienummer. Komt er een nummer terug, dan staat PHP erop.

Open in de Finder de map Apps, daarna Hulpprogramma's, en klik dubbel op Terminal. Apple beschrijft deze route in zijn Terminal-handleiding.
Typ php -v en druk op Return.
Lees de eerste regel. Die begint met "PHP" en een versienummer.
Vergelijk het met de lijst herstelde versies in onze gids om de PHP-versie te controleren. Elke oudere versie in dezelfde reeks moet worden bijgewerkt. PHP 8.1 en ouder krijgen geen reguliere updates meer van het PHP-project.

Wie heeft PHP op zijn Mac staan?

Vooral mensen die websites bouwen of testen. De macOS-pagina's van de PHP-handleiding beschrijven twee routes: pakketten van derden, of PHP vanuit de broncode compileren. De handleiding noemt Homebrew een makkelijke manier (brew install php) en noemt MacPorts en Fink als alternatieven.

Je hebt misschien ook PHP als:

je PHP-websites bouwt of test op je Mac en PHP daarvoor hebt geïnstalleerd
je een lokale servertool hebt geïnstalleerd die zijn eigen PHP meebrengt. Het Belgische CCB raadt aan alle PHP-installaties in kaart te brengen, ook die in leveranciersapparatuur, Windows-programma's en beheerpanelen
je de ingebouwde webserver van PHP hebt gebruikt (php -S). De PHP-handleiding zegt dat die bedoeld is als hulp bij ontwikkeling, niet voor productie, en niet op een openbaar netwerk gebruikt moet worden

Loopt de PHP op mijn Mac echt risico?

Dat hangt af van hoe je het gebruikt. Volgens het PHP-advies lopen alle PHP-installaties risico die webverzoeken verwerken, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het risico is het grootst bij mod_php: daar laat een aangetoonde aanvalsmethode zien dat één niet-aangemeld verzoek de aanval kan starten voordat er applicatiecode draait.

Het advies zegt niets over PHP dat alleen vanaf de opdrachtregel wordt gebruikt, dus we kunnen je niet vertellen dat dat gebruik veilig is. Het NCSC adviseert de nieuwste beveiligingsupdates voor PHP zo snel mogelijk te installeren. Ook op een Mac is updaten het eenvoudigste antwoord.

Over misbruik: het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Het schrijft ook dat misbruik ingewikkeld is en dat de kans op grootschalig misbruik kleiner is dan eerder werd ingeschat.

Hoe werk ik PHP bij op een Mac?

Werk het bij op dezelfde manier als waarop je het installeerde. Het PHP-advies zegt dat je moet updaten naar een herstelde versie, en dat de broncode op de downloadpagina van php.net staat. Heb je PHP met een pakketbeheerder geïnstalleerd, werk het dan met die pakketbeheerder bij. Kwam het mee met een lokale serverapp, werk dan de app bij, of kijk op de site van de maker of er een versie met de herstelde PHP is.

Instellingen aanpassen is geen oplossing. Het advies zegt dat de maatregelen die het noemt bepaalde aanvalspaden beperken, maar een installatie niet veilig maken.

Na het bijwerken typ je opnieuw php -v en controleer je of het versienummer is veranderd.

Draait er PHP op mijn Mac als ik websites bezoek?

Nee. De PHP-handleiding legt uit dat PHP-code op de server wordt uitgevoerd, die de HTML naar je browser stuurt. Je browser krijgt alleen het resultaat en ziet de PHP-code nooit. Een site lezen die met PHP is gebouwd, laat dus geen PHP op je Mac draaien.

Een gehackte site kan bezoekers wel op andere manieren raken. Lees daarvoor kun je gehackt worden door een website te bezoeken?

Waar Failshot past

Failshot is een tweede beveiligingslaag voor je Mac. Je wachtwoord is de eerste laag, en Failshot is de laag daarna, voor als iemand je Mac met dat wachtwoord ontgrendelt terwijl jij er niet bij bent.

Als Failshot aan staat, maakt het foto's van wie je Mac ontgrendelt en neemt het met Pro daarna een video van 5 seconden op, en het venster van Failshot laat die persoon weten dat de ontgrendeling is gefotografeerd. Zet met Pro meldingen aan, en Failshot mailt je over een ontgrendeling die je niet als de jouwe bevestigt, een verkeerde Failshot-pincode of een verkeerd antwoord, of als de cameratoegang van Failshot wordt uitgezet terwijl het aan staat. Om het uit te zetten, of te stoppen via het menu, is Touch ID of je Failshot-pincode met je antwoord nodig, nooit je Mac-wachtwoord.

Failshot is gratis te downloaden op failshot.app voor de Mac, met macOS 14 of later. Gratis te gebruiken. Pro voegt video, e-mailmeldingen en de versleutelde kluis toe. Probeer Failshot Pro voor de Mac 7 dagen gratis op failshot.app. Je kaart wordt bij het aanmelden vastgelegd en op dag 8 belast, tenzij je opzegt. De app is in het Engels, en de versies voor iPhone, Android en Windows komen binnenkort.

Meer vragen

Werkt een macOS-update PHP bij?

De PHP-handleiding zegt dat macOS sinds macOS 12 Monterey geen PHP meer meelevert. Op die versies is elke PHP dus apart geïnstalleerd en moet het ook zo worden bijgewerkt. Houd macOS hoe dan ook up-to-date, maar reken er niet op dat het PHP uit een pakketbeheerder of lokale serverapp bijwerkt.

Mijn Mac draait macOS Big Sur of ouder. Staat PHP erop?

Mogelijk. De PHP-handleiding zegt dat PHP met macOS 10 en 11 werd meegeleverd. Typ php -v in Terminal en vergelijk de versie met de herstelde versies.

Is er na 21 oktober nog een PHP-probleem bijgekomen?

Ja, een los en veel minder waarschijnlijk probleem, CVE-2026-115560, dat het PHP-project op 23 oktober publiceerde. Onze gids over de PHP-kwetsbaarheid bespreekt het.