PHP2Shell: wat het PHP-lek betekent voor jouw website

Op 21 oktober 2026 kwam er een spoedmelding uit de PHP-wereld. Er zijn twee kritieke lekken gevonden in PHP, de programmeertaal waarop WordPress draait. Samen hebben ze de naam PHP2Shell gekregen (CVE-2026-109618 en CVE-2026-109619). Het PHP-team geeft ze een score van 9,2 op 10. Ik leg je uit wat er speelt, wat ik heb gedaan en of jij nog iets moet doen.

Wat is PHP2Shell?

Met PHP2Shell kan een aanvaller op afstand zijn eigen code laten uitvoeren op een webserver die PHP gebruikt. In het ergste geval neemt hij zo een hele website over. Hoe het lek precies werkt, is bewust nog niet openbaar gemaakt, zodat beheerders eerst de tijd krijgen om te updaten. Er gaat wel al aanvalscode rond, en volgens Cloudflare worden de eerste aanvallen al gezien.

Het PHP-team brengt op 21 oktober om 16:00 uur (Nederlandse tijd) een noodupdate uit voor PHP 8.2, 8.3, 8.4 en 8.5. Oudere versies, zoals PHP 8.1 en alles daarvoor, krijgen geen update meer. Volgens de PHP-ontwikkelaars is updaten de enige echte oplossing.

Wat betekent dit voor jouw website?

Alle websites die ik host, draaien sinds kort op PHP 8.5, de nieuwste versie. Die krijgt de update dus meteen. Je hoeft zelf niets te doen.

Wat heb ik gedaan?

Op een normale dag installeert mijn server updates ’s nachts automatisch. Zo lang wil ik bij dit lek niet wachten. Dit is wat ik al heb gedaan:

• De server nagelopen: welke PHP-versies erop draaien, hoe de updates binnenkomen en welke onderdelen geraakt kunnen worden.
• Een volledige kopie van de server gemaakt, zodat ik altijd terug kan.
• Het beheerpaneel van de server afgeschermd, zodat alleen ik er nog bij kan.
• Een automatische controle ingesteld die elke tien minuten kijkt of de update er is, hem dan meteen installeert en daarna alle websites test.
• Op alle websites een extra voorzorgsinstelling aangezet. Dat lost het lek niet op, maar sluit wel een bekende route af.
• Vastgelegd hoe de server er nu uitziet (beheerders, belangrijke bestanden en geplande taken), zodat ik na de update kan controleren dat niemand eerder is binnengekomen.

Stand van zaken

Vlak voor de bekendmaking om 16:00 uur scherm ik alle websites even af, totdat de update erop staat. Je website is dan een paar minuten niet bereikbaar. Liever dat dan een onnodig risico. Zodra de update is geïnstalleerd, gaan de websites automatisch weer open en vergelijk ik de server met de vastgelegde stand.

Update volgt: zodra de update erop staat en de controle klaar is, lees je het hier.

Moet jij nog iets doen?

Host ik jouw website? Dan hoef je niets te doen. Draait je website ergens anders? Vraag dan bij je hostingpartij na of de update van 21 oktober is geïnstalleerd. En staat je website nog op PHP 8.1 of ouder, dan is het hoog tijd om over te stappen. Ik help je daar graag bij.

Wil je meer technische achtergrond? Die vind je in de veelgestelde vragen van Tenable en bij php.net. Vragen over jouw website? Neem gerust contact met me op.