Op 20 oktober 2026 lekten de details van twee kritieke kwetsbaarheden in PHP uit op het internet, nog voordat de officiële patch beschikbaar was. Binnen enkele uren haalde „PHP2Shell” de voorpagina van de internationale vakpers.
Hieronder leest u wat er gebeurd is, wat dat betekende voor uw website en hoe het team van ArtWhere de situatie heeft aangepakt.
Wat is PHP2Shell?
PHP is de programmeertaal waarop een zeer groot deel van de websites wereldwijd draait: WordPress, Drupal, talrijke webshops en intranetten zijn erop gebouwd. Wanneer een lek PHP zelf treft, gaat het niet om een handvol sites, maar om miljoenen.
„PHP2Shell” verwijst in werkelijkheid naar twee afzonderlijke kwetsbaarheden, met de referenties CVE-2026-109618 en CVE-2026-109619. Het beveiligingsteam van PHP gaf ze een ernstscore van 9,2 op 10. Ze konden een aanvaller zonder wachtwoord in staat stellen zijn eigen code op de server uit te voeren, met andere woorden: de server op afstand over te nemen.
Om het risico te schetsen: het is alsof iemand een loper had gevonden die alle gebouwen met hetzelfde type slot kon openen. Hoe stevig de deur of hoe goed het alarm ook was, het probleem zat in het slot zelf.
Waarom dit bijzonder ernstig was
- Een lek vóór de patch. Normaal wordt een kwetsbaarheid pas openbaar gemaakt op het moment dat de oplossing beschikbaar is. Hier circuleerden de details al eerder: urenlang wisten hackers evenveel als de verdedigers, zonder dat er een officiële update bestond.
- Een gigantisch doelwit. PHP draait op een meerderheid van de webservers. Aanvallers automatiseren dit soort misbruik om het internet op grote schaal af te scannen.
- Zelfs de experts sloten de deuren. Verschillende organisaties, waaronder cyberbeveiligingscentra zoals het Nederlandse NCSC, haalden uit voorzorg hun eigen website offline in afwachting van de patch. In België was ook de website van het CCB onbereikbaar.
Onze interventie, uur per uur
Bij ArtWhere hosten en onderhouden wij de websites van onze klanten. Hun beveiliging is onze verantwoordelijkheid, niet de hunne. Zo verliep de dag.
| Wanneer | Wat wij gedaan hebben |
|---|---|
| 21 oktober, 5 uur | Het hele team wordt gemobiliseerd. Inventaris van de servers en de gebruikte PHP-versies, verscherpte monitoring van alle sites. |
| 21 oktober, 8 uur | Nog vóór de release van de patch: invoering van de beschermingsmaatregelen die door experts uit de sector worden aanbevolen. Vanaf dat moment waren uw sites al in zeer grote mate beschermd. |
| 21 oktober, 15.45 uur | Installatie van de officiële patch, met voorrang op alle servers die wij beheren, gevolgd door een controle site per site. |
Gedurende die hele periode hoefden onze klanten niets te doen. Geen handelingen, geen updates om te starten, geen site om offline te halen. Wij zijn paraat gebleven tot elke site gepatcht en gecontroleerd was.
Waarom het updaten van WordPress niet volstond
Veel website-eigenaars hadden de goede reflex om WordPress, hun plug-ins of hun thema bij te werken. Dat is altijd nuttig, maar het beschermde niet tegen PHP2Shell: het lek zat in PHP zelf, met andere woorden in de motor die de site laat draaien en die op serverniveau wordt beheerd.
Alleen een update van PHP loste het probleem op. Het PHP-team publiceerde op 21 oktober de volgende gepatchte versies:
| PHP-tak | Gepatchte versie |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Oudere versies (PHP 8.1, 8.0, 7.x…) worden officieel niet meer onderhouden. Het PHP-team heeft voor sommige ervan minimale patches gepubliceerd, maar een site die nog op zo’n oude versie draait, blijft een kwetsbaar doelwit. Dat is een van de redenen waarom wij de servers van onze klanten op actuele versies houden.
Wordt uw site niet door ArtWhere beheerd? De juiste reflexen
- Vraag uw hostingprovider of dienstverlener of PHP bijgewerkt is naar een van de bovenstaande gepatchte versies, en wanneer.
- Controleer uw PHP-versie: die staat doorgaans in het dashboard van uw hosting, of in WordPress onder Gereedschap › Sitediagnose › Informatie.
- Draait uw site nog op PHP 8.1 of ouder, plan dan snel een migratie: dat is geen kwestie van comfort meer, maar van veiligheid.
- Let op ongewone signalen: nieuwe, onbekende beheerdersaccounts, gewijzigde bestanden, verdachte doorverwijzingen. Bij twijfel schakelt u best een professional in.
Wat deze episode ons in herinnering brengt
De beveiliging van een website beperkt zich niet tot een sterk wachtwoord of een HTTPS-certificaat. Ze steunt ook op onzichtbare bouwstenen (server, programmeertaal, databases) die permanent gemonitord en bijgewerkt moeten worden. Wanneer een crisis als PHP2Shell uitbreekt, maken uren het verschil.
Dat is precies de rol van een technische partner: voor u waken, vóór u reageren en u in alle rust laten doorwerken terwijl wij ons om de rest bekommeren.
Een vraag over de beveiliging van uw website?
Ons team staat voor u klaar om uw hosting en uw PHP-versies samen met u te overlopen.
info@artwhere.eu · +32 475 29 31 46
Bronnen
- php.net, officiële aankondiging van de beveiligingsrelease van 21 oktober 2026
Neem contact op
ArtWhere, digitale innovatie