PHP2Shell: wat betekent dit voor jouw website?

Sinds de vorige controle zijn er aanvullende aandachtspunten. Laat je hostingpartij de volgende meldingen meenemen bij de controle van jouw omgeving.

PHP2Shell is de naam voor twee kritieke PHP-kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. Ze kunnen uitvoering van code op afstand zonder voorafgaande aanmelding mogelijk maken. Een aanvaller kan dan eigen opdrachten laten uitvoeren op een getroffen server.

Een kwetsbare installatie betekent niet automatisch dat jouw website is gehackt. Wel moet je beheerder de reparatiestatus beoordelen en aanwijzingen voor misbruik onderzoeken.

PHP verwerkt verzoeken op de server. Bij WordPress gebruikt onder meer het CMS deze programmeertaal. Een WordPress-, thema- of plug-inupdate vervangt de PHP-reparatie op de server niet. WordPress over PHP bijwerken.

Vraag daarom afzonderlijk wie PHP beheert. Alle beschikbare updates in je CMS uitvoeren, bevestigt nog niet dat ook de onderliggende server is bijgewerkt.

Gebruik je een standaardwebsite of webshop die volledig bij Shopify, Webflow, Wix of Squarespace wordt gehost? Dan hoef je voor die platformomgeving vanwege PHP2Shell zelf geen PHP-versie op te zoeken of PHP-update uit te voeren. Het platform beheert de hosting en de bijbehorende platformupdates.

Externe maatwerkapps, gekoppelde PHP-systemen of een website die op eigen hosting draait, kunnen wel afzonderlijk controle nodig hebben. Vraag dan de beheerder van dat onderdeel of PHP wordt gebruikt en of de reparatie is toegepast.

PHP waarschuwt voor installaties die webverzoeken verwerken, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het PHP-team noemt het risico het hoogst bij Apache met mod_php: daar is aangetoond dat een aanval al vóór het uitvoeren van de websitecode kan plaatsvinden. Laat je beheerder de gebruikte installatie controleren. Officiële beveiligingsmelding.

Voor de regulier ondersteunde branches zijn de onderstaande reparatieversies voor de oorspronkelijke twee PHP2Shell-kwetsbaarheden beschikbaar. Gebruik de gerepareerde versie binnen jouw branch of een geschikte latere versie. Een leverancierspatch kan zijn toegepast zonder dat het zichtbare basisversienummer verandert; laat de pakket- en patchstatus daarom bevestigen.

Log in op je WordPress-dashboard en ga naar Gereedschap → Sitediagnose → Informatie → Server → PHP-versie. Open bovenaan eerst het tabblad Informatie en klap daarna Server uit. Dit is de controle die WordPress beschrijft.

Ontbreekt dit menu, vraag dan een beheerder om de versie te bekijken. Vaak staat deze ook in je hostingpaneel. Noteer het volledige versienummer en vraag je provider daarnaast of de reparaties voor beide CVE-nummers op jouw omgeving zijn toegepast.

Ook bij andere websites begint de controle bij de software die daadwerkelijk op de server draait. De naam van het platform of de bouwtool vertelt niet alles over losse apps en koppelingen.

Gebruikt jouw website of een gekoppelde toepassing PHP? Dan zou ik onderstaande stappen aanhouden. Maak afspraken over jouw specifieke omgeving en vraag om een bevestiging zodra de werkzaamheden zijn uitgevoerd.

Ook het NCSC adviseert om de beveiligingsupdates met spoed toe te passen. Tijdelijke maatregelen beperken alleen bepaalde aanvalspaden en vervangen de beveiligingsupdate niet. Actueel NCSC-beveiligingsadvies.

De taakverdeling hangt af van je hostingpakket en beheerafspraken. WordPress wijst op het belang van een duidelijke verdeling tussen hostingbeveiliging en websitebeheer. WordPress-beveiligingsrichtlijnen.

Het tijdstip waarop PHP een reparatie publiceert, is niet automatisch het tijdstip waarop jouw hostingomgeving is bijgewerkt. Een hoster kan afhankelijk zijn van de distributie van bijgewerkte serverpakketten. Vraag daarom naar de planning voor jouw omgeving en naar een bevestiging van de uitgevoerde update.

Laat je hostingpartij of serverbeheerder beoordelen of tijdelijk afschermen nodig is wanneer je omgeving nog niet is gerepareerd. Een beveiligingsupdate is nu beschikbaar; de planning en blootstelling van jouw installatie bepalen welke tijdelijke maatregel passend is.

Volgens PHP verminderen tijdelijke configuratiemaatregelen de blootstelling aan bepaalde aanvalspaden, maar maken die een installatie niet veilig. Alleen bijwerken biedt een volledige oplossing voor deze kwetsbaarheden. Laat de afweging aan je beheerder. Officiële PHP-melding.

Een onderhoudspagina binnen WordPress is op zichzelf geen bevestiging dat de kwetsbare PHP-toepassing is afgeschermd. Laat je beheerder beoordelen hoe de toegang op serverniveau tijdelijk wordt beperkt.

Bespreek ook hoe een tijdelijke onderbreking aan zoekmachines wordt doorgegeven. Google beschrijft voor een korte volledige onderbreking het gebruik van HTTP-status 503. De duur en technische uitvoering tellen mee; behoud van posities kun je niet garanderen. Google over tijdelijk uitschakelen van een website.

Vraag eerst om bevestiging dat de bedoelde beveiligingsreparatie op de juiste omgeving is toegepast. Controleer daarna zelf de functies die voor jouw bedrijf belangrijk zijn: belangrijke pagina’s, inloggen, formulieren en eventuele boekingen, klantaccounts of bestelprocessen. Spreek af wie deze controles uitvoert.

Zijn er aanwijzingen voor misbruik? Laat de beheerder dan onderzoek doen en relevante logbestanden bewaren. Een functionele controle vertelt niet wat er eerder op de server is gebeurd. WordPress over beveiliging en logging.

Let bijvoorbeeld op onbekende beheerders, onverwachte bestanden of doorverwijzingen naar andere websites. Bespreek zulke signalen direct met je beheerder. Een geslaagde update vervangt onderzoek naar mogelijk eerder misbruik niet.

Maak je beheerafspraken concreet. Wie volgt PHP-beveiligingsmeldingen, wie werkt WordPress bij en wie controleert de back-ups? Een update op de server en onderhoud aan de website vragen allebei aandacht.

Kies een ondersteunde PHP-versie en plan een overstap voordat de reguliere ondersteuning afloopt. Eventuele leverancierspatches of uitzonderlijke broncodepatches staan los van die reguliere ondersteuning. Laat de beheerder de patchstatus bevestigen. Ondersteuningsbeleid PHP.

Gebruik je PHP 8.2? De reguliere beveiligingsondersteuning voor deze branch stopt op 31 december 2026. PHP 8.2.35 verhelpt deze twee kwetsbaarheden, maar plan met je beheerder ook tijdig een overstap naar een langer ondersteunde branch. PHP over de ondersteuningstermijnen.

Zorg voor regelmatige back-ups van bestanden en database, met een duidelijke herstelprocedure. Ook dat hoort bij de beveiligingsbasis van WordPress.