Raakt PHP2Shell mijn telefoon? Wat de PHP-kwetsbaarheid betekent voor iPhone en Android

iPhoneAndroidBijgewerkt 2026-10-31

Het advies van het PHP-project van 21 oktober 2026 zegt dat "all PHP installations serving web requests" risico lopen, alle PHP-installaties die webverzoeken verwerken. Dat is serversoftware. Telefoons, tablets en browsers noemt het advies niet. Als je een website bekijkt op je iPhone of Android-telefoon, draait de PHP van die site niet op je telefoon, al kan een gehackte site op andere manieren nog steeds problemen geven.

Kort antwoord

PHP2Shell is de naam voor twee kritieke PHP-lekken, CVE-2026-109618 en CVE-2026-109619. Het PHP-advies zegt dat ze PHP-installaties die webverzoeken verwerken in gevaar brengen, en de PHP-handleiding zegt dat PHP-code op de server draait. Je telefoon krijgt de kant-en-klare pagina. Houd iOS of Android toch bijgewerkt, en wees voorzichtig met downloads en inlogpagina's op onbekende sites.

Wat zegt het PHP-advies over wat er geraakt is?

Servers die PHP gebruiken om webverzoeken te beantwoorden. Het advies zegt dat PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 "fix two critical vulnerabilities that can allow unauthenticated remote code execution". Onder "Who is at risk" noemt het alle PHP-installaties die webverzoeken verwerken, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed, en het risico is volgens het advies het grootst bij mod_php.

Dat zijn manieren om PHP achter een website te draaien. Het Nationaal Cyber Security Centrum (NCSC) schrijft in zijn advies dat alle PHP-installaties die webverzoeken verwerken getroffen zijn, en richt zijn advies aan organisaties: installeer de updates zo snel mogelijk. Onze uitleg over de PHP-kwetsbaarheid gaat over de lekken zelf, en over het verwante, veel minder waarschijnlijke probleem dat het PHP-project op 23 oktober publiceerde.

Waarom draait de PHP niet op mijn telefoon als ik surf?

Door de plek waar PHP zijn werk doet. De PHP-handleiding zegt dat de code, anders dan JavaScript in de browser, "is executed on the server, generating HTML which is then sent to the client". De code wordt dus op de server uitgevoerd, en die maakt HTML die naar de client gaat.

De browser op je telefoon is die client. Hij krijgt de HTML, niet de PHP waarmee die gemaakt is. PHP2Shell oplossen is dus de taak van de eigenaar van de site. Safeonweb, de Belgische site voor veilig internetten, schrijft dat je voor dit specifieke beveiligingsprobleem zelf niets hoeft te doen.

Het advies noemt iOS en Android niet, en deze gids zegt niets over welke software er in een van beide zit. Wat de bronnen wel steunen, is smaller: het advies gaat over PHP dat webverzoeken verwerkt, en een telefoon die een webpagina leest, zit aan de ontvangende kant.

Kan een gehackte website toch problemen geven op mijn telefoon?

Ja, op een andere manier, en één detail is belangrijk voor telefoons. De Engelstalige hulp van Google voor site-eigenaren zegt dat hackers code kunnen toevoegen die sommige gebruikers doorstuurt naar schadelijke of spampagina's, en dat het soort doorverwijzing soms afhangt van de verwijzende pagina, de user agent of het apparaat. Een gehackte site kan zich dus op je telefoon anders gedragen dan op een laptop.

Onze gids kun je gehackt worden door een website te bezoeken? gaat over wat een gehackte site kan doen, waarschuwingen in je browser, en wat je doet als je al ergens een wachtwoord hebt ingevuld. Voor accounts bij diensten die je gebruikt, zie zijn mijn persoonsgegevens in gevaar?

Hoe werk ik mijn iPhone bij?

Apple zegt dat je software up-to-date houden "een van de beste dingen" is die je kunt doen om de beveiliging van je Apple product te waarborgen. Het is geen oplossing voor PHP2Shell, wel een goede gewoonte die ook Safeonweb aanraadt.

Maak een back-up van je iPhone met iCloud of je computer.
Sluit hem aan op de stroom en maak verbinding met wifi.
Ga naar Instellingen > Algemeen > Software-update.
Is er een update, tik dan op Download en installeer en volg de instructies op het scherm.

Wil je dat updates vanzelf gaan, ga dan naar Instellingen > Algemeen > Software-update > Automatische updates en zet Installeer automatisch aan. Apple zegt dat de update dan 's nachts wordt gedownload en geïnstalleerd terwijl de iPhone oplaadt en met wifi verbonden is, en dat je vooraf een melding krijgt.

Hoe werk ik een Android-telefoon bij?

Je versie zie je in de app Instellingen: tik op Over de telefoon en daarna op Android-versie. Daar staan je Android-versie, de Android-beveiligingsupdate, de Google Play-systeemupdate en het buildnummer.

Maak verbinding met wifi en laad je telefoon op. Google raadt minstens 75% aan, omdat updates groot kunnen zijn en tijd kosten.
Ga naar Instellingen > Systeem > Software-updates.
Bekijk daar de updatestatus en volg de instructies op het scherm.

Google zegt dat de updateschema's verschillen per apparaat, fabrikant en mobiele provider, dus het menu kan er op een telefoon die geen Pixel is anders uitzien.

Waar haal ik apps vandaan?

Uit de officiële winkels, en houd die apps ook bijgewerkt. Het Britse NCSC raadt aan updates voor je apps en voor de software van je apparaat te installeren zodra ze beschikbaar zijn.

Op een iPhone komen apps uit de App Store, en Apple zegt: "100% van de apps wordt automatisch gecontroleerd op malware." Op Android checkt Google Play Protect je apps en apparaten op schadelijk gedrag, en voert het een veiligheidscheck uit op apps uit de Google Play Store voordat je ze downloadt. Om te zien of het aan staat, open je de Play Store-app, tik je rechtsboven op je profielicoon, daarna op Play Protect > Instellingen, en kijk je of Apps scannen met Play Protect aan staat.

Waar Failshot past

Failshot voor iPhone en Android komt binnenkort. Op de Mac is het er al, voor het moment dat iemand achter je Mac gaat zitten.

Je wachtwoord is de eerste laag. Failshot is de tweede beveiligingslaag voor je Mac, de laag na je wachtwoord. Als het aan staat, maakt het foto's van wie je Mac ontgrendelt en neemt het met Pro daarna een video van 5 seconden op, en het venster van Failshot laat die persoon weten dat de ontgrendeling is gefotografeerd. Zet met Pro meldingen aan, en de foto komt in je mailbox. Om Failshot uit te zetten, of te stoppen via het menu, is Touch ID of je Failshot-pincode met je antwoord nodig, nooit je Mac-wachtwoord.

De Mac-app is gratis te downloaden op failshot.app, voor macOS 14 of later. Gratis te gebruiken. Pro voegt video, e-mailmeldingen en de versleutelde kluis toe. Probeer Failshot Pro 7 dagen gratis op failshot.app. Je kaart wordt bij het aanmelden vastgelegd en op dag 8 belast, tenzij je opzegt. De app is in het Engels, en de versie voor Windows komt ook binnenkort.

Meer vragen

Is er een PHP2Shell-update voor iPhone of Android?

Het PHP-advies noemt er geen. Tot en met 23 oktober 2026 bestaat de oplossing uit nieuwe PHP-versies: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Het advies noemt geen software voor telefoons. Installeer de updates van Apple en Google gewoon zodra ze verschijnen.

Mijn telefoon is oud en krijgt geen updates meer. Moet ik me zorgen maken over PHP2Shell?

PHP2Shell gaat over servers, dus dat is de reden niet. Google zegt wel dat oudere apparaten niet altijd nieuwere Android-versies kunnen draaien, en dat je voor de nieuwste beveiligingsupdate de nieuwste Android-versie nodig hebt die voor je apparaat beschikbaar is. Het Britse NCSC zegt dat een telefoon die geen beveiligingsupdates meer krijgt minder veilig is.

Raakt PHP2Shell mijn Mac of laptop?

Dat hangt ervan af of er PHP op staat, en dat is een andere vraag dan bij je telefoon. Onze gids PHP-kwetsbaarheid en de Mac laat zien hoe je het in Terminal controleert en hoe je bijwerkt.

Moet ik websites mijden tot dit is opgelost?

Het PHP-advies en het NCSC vragen het publiek niet om websites te mijden. Hun advies is voor wie PHP draait: update het. Het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Als bezoeker geldt de gewone voorzichtigheid, vooral bij downloads en inlogpagina's.