PHP2Shell: kritieke PHP-kwetsbaarheden en wat je nu moet doen

Bijgewerkt 22 oktober 2026 · GAITS Solutions

Wat er gebeurde

PHP heeft twee ernstige fouten verholpen in onderdelen die bij bijna elk verzoek worden gebruikt: geheugenbeheer en foutafhandeling.

• CVE-2026-109618: als een verzoek precies op het verkeerde moment de geheugenlimiet van PHP bereikt, kunnen half geïnitialiseerde interne gegevens achterblijven die het geheugen beschadigen. Op Apache met mod_php is dit zonder inloggen uit te lokken, nog voordat de applicatiecode draait.
• CVE-2026-109619: een fatale fout op het juiste moment kan verwijzingen naar geheugen van een eerder verzoek achterlaten, die een ander verzoek kan hergebruiken.

Beide scoren 9,2 op 10 (CVSS 4.0) en kunnen code-uitvoering op afstand mogelijk maken: een aanvaller die de server overneemt.

Verholpen versies

De versies die beide lekken dichten:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Niet-ondersteunde takken (8.1 en ouder) krijgen geen officiële versies. Gebruikt je server er een, migreer dan zo snel mogelijk naar een ondersteunde versie.

Raakt het mij?

Als je website, webshop (WordPress, WooCommerce, PrestaShop…), ERP of applicatie draait op een PHP-versie van vóór de verholpen versies: ja. Het risico is groter op servers met Apache en mod_php, maar ook op PHP-FPM is code-uitvoering via de code van sommige applicaties bevestigd. Diverse beveiligingsbedrijven melden aanvalspogingen, dus handel nu.

Wat je vandaag moet doen

1. Controleer je PHP-versie: in je hostingpaneel, in Sitestatus van WordPress of met php -v op de server.
2. Werk bij naar de verholpen versie van je tak (of naar een ondersteunde tak) en herstart de webdienst of PHP-FPM.
3. Staat je website op gedeelde hosting, vraag je provider of en wanneer de update is uitgevoerd.
4. Bekijk de logs van de afgelopen dagen op geheugenfouten of ongebruikelijke procescrashes.
5. Zorg voor back-ups vóór en na het bijwerken.

De optie session.upload_progress.enabled uitschakelen verkleint een deel van het risico van een van de lekken, maar vervangt het bijwerken niet: dat is de enige volledige oplossing.

Een les voor elk bedrijf

Een bijgewerkte server onderhoudt zichzelf niet. Kritieke kwetsbaarheden duiken zonder waarschuwing op en patches moeten binnen uren worden geïnstalleerd, niet weken. Daarom zijn preventief IT-onderhoud en servermonitoring de basis van de cyberbeveiliging van elk bedrijf. Lees ook wat er speelt met Synology-NAS en SonicWall-VPN’s.