PHP2Shell: waarom ik websites tijdelijk offline heb gehaald
Door een kritieke kwetsbaarheid in PHP heb ik op 21 oktober uit voorzorg de websites van klanten met hosting bij mij offline gehaald. Inmiddels zijn ze weer online.
Wat is er aan de hand?
Op 21 oktober 2026 verschenen er noodupdates voor PHP, de programmeertaal waar onder andere WordPress op draait. Het gaat om twee kwetsbaarheden in PHP zelf (CVE-2026-109618 en CVE-2026-109619, samen “PHP2Shell”). Ze scoren allebei 9.2 op 10 en maken het mogelijk om zonder inloggen code uit te voeren op een server.
Het probleem zit dus niet in WordPress of een plugin, maar eronder. Ook een perfect bijgewerkte website is kwetsbaar zolang de server een oude PHP-versie draait.
Wat heb ik gedaan?
De details lekten uit vóór de patch beschikbaar was. Daarom heb ik op 21 oktober begin van de middag alle websites van klanten die hun hosting bij mij hebben uit voorzorg offline gehaald. Websites die elders gehost worden, zijn niet door mij aangepast. Dit is ook wat het NCSC en CISA adviseren als je niet direct kunt patchen, en veel andere organisaties, waaronder overheidssites, deden hetzelfde. Misbruik is volgens de officiële instanties nog niet gezien, maar dat wilde ik niet afwachten.
Zijn ze weer online?
Ja. De updateservers waren die avond overbelast, dus de update lukte pas later. Inmiddels draaien alle websites op een bijgewerkte PHP-versie en zijn ze weer online. Ik heb per website gecontroleerd of alles werkt. Je hoeft zelf niets te doen. Zie je toch iets geks, neem contact op.
Host je zelf of bij een andere partij? Check dan welke PHP-versie je gebruikt en update naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35. PHP 8.1 en ouder krijgt geen officiële fix meer.
Bronnen
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- Help Net Security: PHP2Shell
- NOS: Websites komen langzaam weer online na beveiligingsupdate in PHP
Afbeelding: “Data room” van Michael Hiraeth, CC0 (Wikimedia Commons).
Bij het aanmelden gaat u akkoord met de privacyverklaring
