PHP2Shell: wat het lek in PHP betekent voor jouw website
Sinds woensdag 21 oktober liggen veel websites uit voorzorg plat, van Tweakers tot DigiD. De oorzaak: twee ernstige lekken in PHP, de techniek waar WordPress, WooCommerce en de meeste webshops op draaien. Wat is er aan de hand, loopt jouw site risico en wat moet je vandaag doen?
PHP heeft de oplossing uitgebracht in de versies 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Volgens PHP zelf is er geen volledige noodoplossing: bijwerken is de enige veilige keuze. Vraag je hoster of bouwer vandaag nog om je site naar een van deze versies te zetten.
Wat is er aan de hand?
Op 20 oktober lekten details uit over twee lekken in PHP, bekend als PHP2Shell (officieel CVE-2026-109618 en CVE-2026-109619). De makers van PHP geven ze allebei een 9,2 op een schaal van 10 voor ernst. Via een gewoon verzoek aan je website kan een aanvaller er zijn eigen code mee laten uitvoeren op de server. Daarmee kan hij gegevens stelen, je site aanpassen of de server misbruiken voor iets anders.
Normaal blijven zulke details geheim tot de oplossing klaarstaat. Dat ging nu mis: ze lagen op straat vóórdat er een update was. Cloudflare zag op de ochtend van 21 oktober de eerste aanvallen. Veel organisaties, waaronder Tweakers, de Tweede Kamer, DigiD en MijnOverheid, haalden hun sites uit voorzorg offline.
Loopt jouw website risico?
Dat hangt af van één ding: draait je website op PHP? Dat geldt voor WordPress, WooCommerce, Joomla, Drupal, Magento, PrestaShop en Laravel, en voor veel sites die op maat zijn gebouwd. Of je de nieuwste plugins hebt, maakt voor dit lek niet uit: het zit in PHP zelf, op de server, nog vóórdat WordPress begint.
Hoe groot dat is, zie ik in mijn eigen onderzoek naar ruim 2.000 websites van ondernemers: 57% draait op PHP, de meeste op WordPress. En 126 daarvan draaien op een PHP-versie die al geen updates meer krijgt, de meeste op 7.4 of nog ouder. Voor die sites komt er waarschijnlijk ook voor dit lek geen oplossing.
Heb je een site bij een platform als Shopify of Wix, dan regelt dat platform de beveiliging zelf. Daar hoef je niets te doen.
Wat moet je vandaag doen?
- Vraag je hoster of websitebouwer of PHP is bijgewerkt naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12 (of nieuwer). Bij de meeste hostingpakketten werkt de hoster PHP zelf bij, maar vraag het na. Bij een eigen server of VPS moet jij (of je bouwer) het doen.
- Kijk op welke PHP-versie je site draait. In WordPress zie je dat onder Extra → Sitegezondheid → Info → Server. Anders staat het in je hostingpaneel, vaak bij "PHP-instellingen". Staat er een lager nummer dan hierboven, dan is je site nog kwetsbaar. Is het 8.1 of lager, laat je site dan zo snel mogelijk overzetten naar een nieuwere versie. Kan dat niet meteen, overweeg dan de site tijdelijk offline te halen.
- Gebruik je Cloudflare? Cloudflare heeft voor alle klanten, ook gratis, regels aangezet die de bekende aanvallen tegenhouden. Fijn als noodverband, maar geen vervanging voor de update.
- Houd je site de komende dagen in de gaten. Let op nieuwe beheerders die je niet kent, onbekende bestanden, een site die ineens traag is of mail die vanaf jouw domein als spam wordt verstuurd.
Wat níet helpt
Een onderhoudsmodus of een beveiligingsplugin in WordPress houdt dit lek niet tegen: PHP wordt geraakt voordat WordPress iets doet. Wees ook voorzichtig met "snelle oplossingen" in onbekende plugins of codefragmenten die nu rondgaan. Die zijn niet gecontroleerd en kunnen je site juist kapotmaken. De enige echte oplossing is PHP bijwerken.
Mijn eigen sites en die van mijn klanten
Ik heb vandaag alles nagelopen wat ik zelf host en beheer. Mijn eigen site en de platforms die ik bouw, draaien online niet op PHP en zijn dus niet kwetsbaar voor dit lek. Ben je klant en heb je vragen? Stuur me gerust een bericht via je klantportaal.
Twijfel je over je eigen site?
Weet je niet op welke PHP-versie je site draait, of wil je zeker weten dat alles dicht zit? Stuur me je webadres. Met de beveiligingscheck controleer ik je site op de lekken waar het in de praktijk misgaat, in gewone taal en voor een vaste prijs.
Bronnen
- PHP: officieel beveiligingsbericht en de nieuwe versies (Engels)
- NOS: Veel websites kwetsbaar voor lekken in populaire programmeertaal
- Bright: Veel websites offline vanwege kwetsbaarheid in PHP, ook MijnOverheid en DigiD
- Sansec: Critical PHP RCE, CVE-2026-109618 en CVE-2026-109619 (Engels)
- Patchstack: PHP vulnerable to critical RCE (Engels, over WordPress)
- Huntress: Rapid Response php2shell (Engels)
Dit bericht is geschreven op 21 oktober om 14:10 en om 16:10 bijgewerkt met de opgeloste versies uit het officiële bericht van PHP.