PHP2Shell: wat er speelde en wat wij voor jouw website hebben gedaan
Twee ernstige beveiligingslekken in PHP haalden het nieuws. Op onze servers zijn ze gedicht; je hoeft zelf niets te doen.
Op woensdag 21 oktober zijn twee ernstige beveiligingslekken in PHP bekend geworden, samen PHP2Shell genoemd. PHP is de techniek achter een groot deel van alle websites, waaronder WordPress, Joomla en veel webshops. Je hebt het misschien in het nieuws gezien: verschillende organisaties, ook overheidsinstanties, haalden uit voorzorg hun websites offline.
Goed nieuws vooraf: de lekken zijn op onze servers inmiddels gedicht. Je hoeft zelf niets te doen.
Wat is PHP2Shell precies?
Het gaat om twee fouten in PHP zelf (CVE-2026-109618 en CVE-2026-109619), allebei met een ernstscore van 9,2 op 10. Via speciaal opgestelde verzoeken kon een aanvaller onder bepaalde omstandigheden zonder in te loggen code uitvoeren op een webserver. Daarmee kun je in theorie bestanden inzien, een website aanpassen of kwaadaardige software plaatsen.
Wat het extra lastig maakte: ook een volledig bijgewerkte WordPress-site kon kwetsbaar zijn. Een update van je CMS of plugins was dus niet genoeg, de oplossing moest op serverniveau.
Wat hebben wij gedaan?
We monitoren onze servers en websites 24/7. Tijdens deze periode hebben we extra scherp gelet op verdachte verzoeken en patronen die op misbruik konden wijzen. Daarbij hebben we geen pogingen tot misbruik van PHP2Shell gezien.
De beveiligingsupdates hebben we direct geïnstalleerd zodra ze beschikbaar kwamen. Ook websites die nog op een oudere PHP-versie draaien zijn hiermee tegen deze lekken beschermd.
Bij een klein aantal klanten hebben we de website tijdelijk offline gezet, op verzoek en in overleg. Dat gold dus niet voor iedereen. Het ging om specifieke situaties waarin we samen hebben besloten dat dit de veiligste keuze was. Hoorde jouw website daarbij, dan heb je al persoonlijk van ons gehoord.
Hoe groot was het risico echt?
Op vrijdag 23 oktober meldde het Nationaal Cyber Security Centrum (NCSC) dat misbruik technisch ingewikkelder is dan eerst gedacht, en dat de kans op grootschalig misbruik kleiner is. Dat maakt de lekken niet onschuldig, maar het is wel geruststellend.
Diezelfde dag kwam er nog een aanvullende waarschuwing (CVE-2026-115560). Die speelt alleen bij een zeldzame combinatie van instellingen en wordt in een volgende PHP-update definitief opgelost. We houden dit goed in de gaten en grijpen in waar dat nodig is.
WordPress en onze nieuwe werkwijze
Zoals je weet draaien wij ontzettend veel WordPress-websites, en die blijven we natuurlijk gewoon ondersteunen en beveiligen. WordPress draait op PHP, dus juist daarom hebben we deze week extra scherp opgelet.
Bij onze nieuwe werkwijze bouwen we websites met een andere techniek, zonder PHP. Websites die op die manier gebouwd zijn, hadden dus geen last van PHP2Shell. Een mooi voorbeeld van waarom we die kant op bewegen: minder afhankelijk van één techniek, en minder onderhoud aan plugins en serverupdates.
Benieuwd of jouw website ook naar deze nieuwe werkwijze kan? Laat het gerust even weten, dan sparren we er vrijblijvend over.
Draait jouw website op een oude PHP-versie?
Dan ben je voor PHP2Shell beschermd, maar een verouderde PHP-versie blijft wel een risico. Oudere versies krijgen geen reguliere beveiligingsupdates meer en de software eromheen is vaak ook verouderd. We raden je daarom aan om over te stappen naar een actuele versie. Twijfel je of dit voor jou geldt? Laat het gerust even weten, dan kijken we het samen na.
Vragen?
Neem gewoon even contact met ons op. Geen zorgen, we houden het voor je in de gaten.
Team DLogic