Draait je router of firewall thuis PHP? Wat PHP2Shell ervoor betekent

WindowsMacBijgewerkt 2026-10-23

Netgate, de maker van pfSense, en het OPNsense-team brachten op 21 oktober 2026 allebei PHP-updates uit voor hun firewallsoftware, op de dag dat het PHP-project de PHP2Shell-kwetsbaarheden bekendmaakte. Of een gewone thuisrouter geraakt wordt, hangt ervan af of de maker er PHP in heeft gebouwd, en dat kan alleen de maker je vertellen.

Kort antwoord

PHP2Shell raakt PHP-installaties die webverzoeken verwerken, en sommige netwerkapparaten gebruiken PHP voor hun beheerpagina. pfSense en OPNsense hebben een fix uitgebracht. Kijk voor elke andere router op de supportpagina van de maker of er een firmware-update is, houd de beheerpagina van internet af en installeer updates zodra ze er zijn.

Raakt PHP2Shell mijn router?

Alleen als je router PHP draait, en dat kun je als eigenaar meestal niet van buitenaf zien. Het advies van het PHP-project zegt dat de twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, alle PHP-installaties die webverzoeken verwerken in gevaar brengen, en dat ze remote code execution zonder authenticatie mogelijk kunnen maken. In gewone taal: iemand zou zonder in te loggen zijn eigen opdrachten op het apparaat kunnen uitvoeren.

Op veiliginternetten.nl schreef het Nationaal Cyber Security Centrum (NCSC) dat PHP ook wordt gebruikt in netwerkapparaten en in webinterfaces waarmee beheerders apparaatinstellingen via een browser aanpassen. Op GitHub schrijft het NCSC dat beheerders PHP in zulke producten niet altijd zelf kunnen bijwerken. Het Amerikaanse agentschap CISA zegt dat PHP vaak een onderdeel is van andere software en dat de verspreiding niet altijd direct zichtbaar is. Een apparaat kan dus PHP bevatten zonder dat het op de doos staat.

We noemen op deze pagina geen merk thuisrouter, omdat we een maker alleen noemen als zijn eigen advies zegt dat zijn producten getroffen of hersteld zijn. De twee die dat hebben gedaan, staan hieronder.

Wat zegt Netgate over pfSense?

Het bericht van Netgate van 21 oktober 2026 zegt dat de twee kwetsbaarheden installaties van pfSense raken. Ze zijn volgens Netgate alleen een reden tot zorg als de PHP-beheerpagina van pfSense, of de dienst Captive Portal, bereikbaar is voor mogelijke aanvallers.

Standaard is de beheerpagina volgens Netgate alleen bereikbaar vanaf het lokale netwerk, niet vanaf internet, en staat Captive Portal uit. Dit zijn de versies die Netgate als bijgewerkt noemt:

pfSense Plus 26.07 en 26.03.1, en pfSense CE 2.9.0, nu met PHP 8.5.12.
pfSense CE 2.8.1, nu met PHP 8.3.36.

De update kan niet via de beheerpagina. Volgens Netgate moet je hem uitvoeren op een opdrachtregel, via SSH of de console, en het bericht geeft de exacte opdrachten. Wie de beheerpagina aan internet heeft blootgesteld, moet meteen bijwerken, zijn regels aanpassen en de beheerpagina voortaan alleen veilig bereiken, bijvoorbeeld via een VPN. Gebruikers van Captive Portal moeten zo snel mogelijk bijwerken. Alle anderen moeten volgens Netgate ook bijwerken, wanneer het uitkomt.

Wat zegt OPNsense?

De aankondiging van OPNsense van 21 oktober 2026 noemt hotfixes met bijgewerkte PHP: Community Edition 26.7.7 met PHP 8.5.12, Community Edition 26.1.11 met PHP 8.3.36, en een update voor de Business Edition. De releasenotes van OPNsense 26.7 noemen de hotfix buiten de vaste planning voor CVE-2026-109618 en CVE-2026-109619, PHP 8.5.12, onder 26.7.7.

OPNsense raadt sterk aan de update zo snel mogelijk te installeren. Gebruik je de captive portal, dan zegt OPNsense dat je die dienst na de installatie opnieuw start, zodat de fixes werken.

Wat zeggen het NCSC en CISA over apparaten met ingebouwde PHP?

Het advies van beide is geschreven voor organisaties, en beide kijken verder dan servers die mensen zelf inrichten. Het NCSC zegt op GitHub dat je apparaten en ingebouwde omgevingen apart controleert, en bij producten met ingebouwde PHP de updates van de leverancier installeert zodra ze beschikbaar zijn. In zijn alert vraagt het de nieuwste beveiligingsupdates voor PHP ook op (netwerk)apparatuur zo snel mogelijk te installeren. CISA zegt elk systeem met PHP in kaart te brengen, te patchen met systemen die aan internet hangen eerst, en systemen offline te halen als ze niet meteen kunnen worden bijgewerkt of nog PHP 8.1 of ouder draaien.

Voor een thuisnetwerk komt dat neer op de supportpagina van je routermaker. Over misbruik: het NCSC meldde op 23 oktober 2026 dat het één melding kent van mogelijk misbruik in het buitenland, maar dat niet is bevestigd dat de aanval ook echt succesvol was. Het advies van QNAP van 22 oktober meldt dat pogingen tot misbruik van PHP publiekelijk zijn gerapporteerd.

Wat doe ik met mijn router thuis?

Behandel hem als elk apparaat waarvan je de software niet zelf kunt inzien. Het NCSC heeft een stappenplan voor de basisbeveiliging van een router. Het is geschreven voor bedrijfsrouters, maar noemt ook thuisgebruikers, en zegt dat het handig is de handleiding van je router erbij te hebben, omdat de instellingen per apparaat verschillen.

Zoek merk en model van je router op en open de supportpagina van de maker voor dat model.
Zoek naar een beveiligingsbericht of firmware-update. Het NCSC schrijft dat er voor routersoftware regelmatig updates uitkomen die veiligheidslekken oplossen. Veiliginternetten.nl noemt de router het slimme apparaat dat het vaakst wordt vergeten.
Installeer elke firmware-update die de maker aanbiedt.
Zet beheer op afstand uit. Het NCSC schrijft dat het betekent dat iedereen met het juiste wachtwoord direct vanaf internet op je router kan inloggen, en dat de optie vaak remote administration heet.
Zet UPnP uit als je het niet nodig hebt. Het NCSC schrijft dat dat gevolgen kan hebben voor sommige programma's. Onze gids over UPnP en port forwarding uitzetten legt uit waarom.
Heeft je router nog het standaardwachtwoord, verander het dan in een sterk wachtwoord dat je zelf kiest. Het NCSC schrijft dat er op internet lijsten staan met standaardwachtwoorden van routers.

Heb je thuis ook een NAS, dan hebben Synology en QNAP een eigen advies. Onze gids over Synology en QNAP zet op een rij wat elk zegt.

Meer vragen

Is er een lijst van producten die door PHP2Shell geraakt worden?

Het NCSC houdt op GitHub een inventarisatie bij van PHP-gerelateerde softwareproducten om inzichtelijk te maken welke producten kwetsbaar zijn. De lijst wordt bijgewerkt naarmate de situatie zich ontwikkelt, dus zie hem als startpunt. Voor jouw model is het bericht van de routermaker zelf het bericht om op te vertrouwen.

Kan ik PHP op mijn router zelf bijwerken?

Op de meeste thuisrouters niet. Heeft de router PHP, dan zit dat in de firmware van de maker, en de fix komt dus als firmware-update. pfSense en OPNsense zijn anders: daar installeren de eigenaren de bijgewerkte PHP zelf, met de stappen in het bericht van elk project.

De beheerpagina van mijn router is alleen thuis bereikbaar. Ben ik dan veilig?

Netgate zegt dat eigenaren van pfSense die de beheerpagina van onbetrouwbare netwerken afhouden en Captive Portal niet gebruiken, niet getroffen zijn, maar wel moeten bijwerken. QNAP waarschuwt dat toegang beperken tot het lokale netwerk niet beschermt tegen aanvallen vanaf apparaten op dat netwerk die al zijn gecompromitteerd. Bijwerken blijft de oplossing.

Is er een tijdelijke oplossing als er nog geen update is?

Het PHP-project zegt dat alleen een update een volledige oplossing is, en dat zijn tijdelijke instellingen de blootstelling verkleinen zonder een installatie veilig te maken. Die instellingen zijn voor wie PHP zelf beheert. Bij een router heb je zelf in de hand dat de beheerpagina van internet af blijft en dat je de update van de maker installeert.

Wat is PHP2Shell?

De naam voor twee kritieke kwetsbaarheden in PHP, CVE-2026-109618 en CVE-2026-109619, die allebei 9,2 scoren op versie 4.0 van de CVSS-schaal en op 21 oktober 2026 bekend werden gemaakt. Onze gids over de PHP-kwetsbaarheid noemt de herstelde PHP-versies.