PHP2Shell: kritieke PHP-kwetsbaarheden bedreigen hostingservers
PHP2Shell kwetsbaarheden vormen een ernstig beveiligingsrisico voor websites en hostingservers die gebruikmaken van PHP. Op 21 oktober 2026 heeft het PHP Security Team twee kritieke kwetsbaarheden verholpen die onder bepaalde omstandigheden uitvoering van willekeurige code op afstand mogelijk maken. De beveiligingsproblemen zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619 en hebben beide een CVSS 4.0-score van 9,2. Op 23 oktober volgde bovendien een aanvullende waarschuwing voor CVE-2026-115560, waarvoor een tijdelijke beveiligingsmaatregel wordt geadviseerd.
De kwetsbaarheden zijn bijzonder relevant voor hostingomgevingen waarop WordPress, Joomla, Magento, WooCommerce en andere PHP-applicaties worden uitgevoerd.
Beheerders moeten niet alleen controleren of de nieuwste PHP-beveiligingsupdates zijn geïnstalleerd, maar ook nagaan of aanvullende beveiligingsinstellingen correct zijn toegepast.
Wat zijn de PHP2Shell kwetsbaarheden?
PHP2Shell is de naam die wordt gebruikt voor twee kritieke kwetsbaarheden in de verwerking van HTTP-verzoeken door PHP.
Het gaat om beveiligingsproblemen in het geheugenbeheer van de PHP-runtime. Hierdoor kunnen onder specifieke omstandigheden ongeldige geheugenstructuren ontstaan.
Wanneer een aanvaller erin slaagt deze fouten gecontroleerd te misbruiken, kan mogelijk willekeurige code worden uitgevoerd met de rechten van het betreffende PHP-proces.
De kwetsbaarheden bevinden zich in PHP zelf en zijn daardoor niet beperkt tot één specifiek contentmanagementsysteem.
Een volledig bijgewerkte WordPress- of Joomla-installatie kan nog steeds risico lopen wanneer de onderliggende PHP-runtime kwetsbaar is.
CVE-2026-109618: geheugenbeschadiging bij Out-of-Memory
De eerste kwetsbaarheid is geregistreerd als CVE-2026-109618.
Het beveiligingsprobleem ontstaat wanneer PHP tijdens de verwerking van een HTTP-verzoek onvoldoende geheugen beschikbaar heeft.
Onder bepaalde omstandigheden wordt de verwerking onderbroken terwijl interne gegevensstructuren nog niet volledig zijn geïnitialiseerd.
Wanneer PHP vervolgens probeert deze gegevens op te ruimen, kan geheugenbeschadiging optreden.
Een aanvaller kan proberen deze situatie te veroorzaken door speciaal samengestelde HTTP-verzoeken naar een kwetsbare server te sturen.
De kwetsbaarheid heeft een CVSS 4.0-score van 9,2 en kan onder specifieke omstandigheden leiden tot remote code execution.
CVE-2026-109619: Use-After-Free door achterblijvende gegevens
De tweede kritieke kwetsbaarheid betreft CVE-2026-109619.
Bij deze kwetsbaarheid kan interne statusinformatie achterblijven nadat het bijbehorende geheugen is vrijgegeven.
Wanneer een volgend verzoek door hetzelfde PHP-proces wordt verwerkt, kan deze achtergebleven informatie opnieuw worden gebruikt.
Dit kan leiden tot een zogenoemde Use-After-Free-situatie.
Ook deze kwetsbaarheid heeft een CVSS 4.0-score van 9,2.
Het PHP Security Team bevestigt dat misbruik onder bepaalde omstandigheden uitvoering van willekeurige code mogelijk kan maken.
Welke PHP-versies zijn kwetsbaar?
Het PHP Security Team heeft op 21 oktober 2026 beveiligingsupdates uitgebracht voor de ondersteunde PHP-versies.
De eerste versies met de beveiligingscorrecties zijn:
- PHP 8.2: versie 8.2.35
- PHP 8.3: versie 8.3.36
- PHP 8.4: versie 8.4.27
- PHP 8.5: versie 8.5.12
Oudere versies binnen deze ondersteunde releasebranches moeten worden bijgewerkt.
PHP 8.1 en oudere versies ontvangen geen reguliere beveiligingsupdates meer vanuit het PHP-project.
Voor bepaalde oudere versies en Linux-distributies zijn aanvullende backports beschikbaar. Beheerders moeten daarom controleren of hun leverancier een aantoonbaar gepatchte versie aanbiedt.
Een lager versienummer betekent bij distributiepakketten met beveiligingsbackports niet automatisch dat de installatie kwetsbaar is.
Extra beveiligingswaarschuwing: CVE-2026-115560
Op 23 oktober 2026 heeft het PHP Security Team een aanvullende beveiligingswaarschuwing gepubliceerd.
Deze betreft CVE-2026-115560, een afzonderlijke kwetsbaarheid die verband houdt met de verwerking van PHP-sessies en de uploadvoortgang van bestanden.
Volgens PHP kan deze kwetsbaarheid onder een ongebruikelijke combinatie van instellingen en applicatiecode mogelijk leiden tot remote code execution.
Het probleem vereist onder andere dat een applicatie tijdens de uitvoering wisselt tussen specifieke PHP-session-serialisatieformaten.
Omdat deze combinatie relatief ongebruikelijk is, wordt de definitieve correctie opgenomen in een reguliere toekomstige PHP-release.
De beveiligingsupdates van 21 oktober bevatten deze aanvullende correctie nog niet.
Welke tijdelijke beveiligingsmaatregel adviseert PHP?
Het PHP Security Team adviseert om de volgende instelling uit te schakelen:
session.upload_progress.enabled = OffDeze instelling bepaalt of PHP informatie bijhoudt over de voortgang van bestandsuploads binnen sessies.
Door de functie uit te schakelen, wordt de door PHP beschreven aanvalsmogelijkheid voor CVE-2026-115560 weggenomen.
De instelling kan worden toegepast via de PHP-configuratie of een passende PHP-FPM-poolconfiguratie.
Serverbeheerders moeten controleren of de instelling daadwerkelijk actief is binnen de PHP-runtime waarmee de website wordt uitgevoerd.
Na het aanpassen van de configuratie moeten de betreffende PHP-processen gecontroleerd opnieuw worden gestart.
Belangrijk: het uitschakelen van session.upload_progress.enabled is geen volledige oplossing voor CVE-2026-109618 en CVE-2026-109619. Daarvoor blijven de beveiligingsupdates noodzakelijk.
Welke hostingservers kunnen getroffen zijn?
Volgens het PHP Security Team zijn verschillende PHP-uitvoeringsmethoden relevant voor de kwetsbaarheden.
Daaronder vallen:
- PHP-FPM in combinatie met Nginx of Apache.
- Apache met mod_php.
- PHP-CGI.
- LiteSpeed-webservers met PHP.
- FrankenPHP.
Het risico verschilt per configuratie.
PHP geeft aan dat Apache-installaties met mod_php een bijzonder hoog risico kunnen lopen, omdat voor deze configuratie een aanval is aangetoond die kan plaatsvinden voordat applicatiecode wordt uitgevoerd.
Ook PHP-FPM-installaties moeten worden bijgewerkt, hoewel de praktische exploitatievoorwaarden anders kunnen zijn.
Voor hostingproviders betekent dit dat alle gebruikte PHP-versies en uitvoeringsmethoden moeten worden geïnventariseerd.
Worden de PHP2Shell kwetsbaarheden actief aangevallen?
Beveiligingsbedrijven hebben aanvalspogingen tegen de PHP2Shell-kwetsbaarheden waargenomen.
Onderzoekers van onder andere Cloudflare en Amazon hebben verdachte activiteiten gemeld die verband houden met pogingen om de beveiligingsproblemen te misbruiken.
Er zijn daarnaast technische demonstraties en proof-of-concept-aanvallen beschikbaar gekomen.
Dit betekent echter niet dat iedere aanvalspoging succesvol is geweest.
De praktische exploitatie hangt onder andere af van de PHP-configuratie, het geheugenbeheer en de mogelijkheid om de kwetsbare codepaden betrouwbaar te bereiken.
De waargenomen aanvallen onderstrepen wel het belang van onmiddellijke beveiligingsupdates.
Wat moeten websitebeheerders doen?
Vservs adviseert websitebeheerders en hostingproviders om de volgende maatregelen uit te voeren:
- Controleer welke PHP-versies op de hostingomgeving beschikbaar zijn.
- Controleer welke PHP-versie daadwerkelijk door iedere website wordt gebruikt.
- Installeer de toepasselijke beveiligingsupdates of aantoonbaar gepatchte leverancierspakketten.
- Controleer of oudere PHP-versies nog actief worden gebruikt.
- Schakel session.upload_progress.enabled uit als aanvullende beveiligingsmaatregel.
- Controleer de effectieve instellingen van PHP-FPM en andere PHP-uitvoeringsmethoden.
- Start de betrokken PHP-processen gecontroleerd opnieuw op.
- Controleer na de wijzigingen of websites en applicaties correct functioneren.
- Onderzoek serverlogs op verdachte verzoeken en onverwachte PHP-fouten.
- Controleer of back-ups beschikbaar en herstelbaar zijn.
Voor zakelijke websites is het verstandig om belangrijke applicaties na een PHP-update te testen op compatibiliteit.
Daarbij verdienen onder andere formulieren, betalingen, API-koppelingen, bestandsuploads en administratieve functies aandacht.
Hoe controleer je de geïnstalleerde PHP-versie?
Serverbeheerders met SSH-toegang kunnen de standaard PHP CLI-versie controleren met:
php -vDit commando toont uitsluitend de PHP-versie die via de commandline wordt gebruikt.
Op servers met meerdere PHP-versies kan een website een andere PHP-runtime gebruiken.
Controleer daarom ook de PHP-versie binnen het gebruikte hostingpaneel en de configuratie van de betreffende website.
Bij DirectAdmin, Plesk en CloudPanel kunnen verschillende websites gebruikmaken van afzonderlijke PHP-FPM-processen en PHP-versies.
De daadwerkelijke beveiligingsstatus moet daarom per actieve PHP-runtime worden vastgesteld.
Controleer op mogelijke compromittering
Het installeren van beveiligingsupdates voorkomt nieuwe aanvallen via de verholpen kwetsbaarheden, maar verwijdert geen eventuele schade die eerder is ontstaan.
Bij mogelijk kwetsbare servers adviseert Vservs om aanvullende controles uit te voeren.
- Controleer webserverlogs op ongebruikelijke HTTP-verzoeken en afwijkende POST-aanvragen.
- Onderzoek onverwachte PHP-crashes, geheugenfouten en herstarts van PHP-processen.
- Controleer op onbekende PHP-bestanden en mogelijke webshells.
- Onderzoek onverwachte wijzigingen aan websitebestanden.
- Controleer op onbekende beheerdersaccounts.
- Onderzoek verdachte cronjobs en ongebruikelijke serverprocessen.
- Controleer uitgaande netwerkverbindingen op onbekende bestemmingen.
- Onderzoek mogelijke toegang tot configuratiebestanden en gevoelige gegevens.
Deze controles zijn algemene indicatoren voor mogelijke compromittering en vormen geen sluitend bewijs dat PHP2Shell daadwerkelijk is misbruikt.
Wanneer een beveiligingsincident wordt vermoed, moeten relevante logs en bewijsmaterialen worden veiliggesteld voordat uitgebreide herstelwerkzaamheden plaatsvinden.
Waarom PHP-beveiliging belangrijk is voor hostingklanten
PHP vormt de basis van een groot aantal websites en webapplicaties.
WordPress, WooCommerce, Joomla, Magento en diverse zakelijke applicaties maken gebruik van PHP voor het verwerken van dynamische inhoud en gebruikersverzoeken.
Wanneer een kwetsbaarheid zich in de PHP-runtime bevindt, kan deze gevolgen hebben voor meerdere applicaties die op dezelfde server worden uitgevoerd.
Daarom is het belangrijk om niet uitsluitend WordPress, plugins of thema’s bij te werken, maar ook de onderliggende serveromgeving goed te onderhouden.
Een actuele PHP-versie, veilige configuratie, monitoring en tijdige beveiligingsupdates vormen samen een belangrijk onderdeel van een betrouwbare hostingomgeving.
Managed VPS Hosting bij Vservs
Vservs levert professioneel beheerde VPS-servers voor zakelijke websites, webshops en applicaties.
Bij een Managed VPS ligt de nadruk op serverbeheer, beveiligingsupdates, monitoring en een stabiele hostingomgeving.
Voor organisaties die afhankelijk zijn van PHP-applicaties is het belangrijk dat de onderliggende serveromgeving zorgvuldig wordt onderhouden.
Meer informatie over onze dienstverlening vind je op de pagina Managed VPS Hosting bij Vservs.
Conclusie
De PHP2Shell kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 vormen een ernstig beveiligingsrisico voor hostingservers waarop kwetsbare PHP-versies worden gebruikt.
De beveiligingsupdates van 21 oktober 2026 verhelpen beide kritieke kwetsbaarheden.
Daarnaast heeft het PHP Security Team op 23 oktober een aanvullende waarschuwing gepubliceerd voor CVE-2026-115560.
Voor deze derde kwetsbaarheid wordt voorlopig geadviseerd om session.upload_progress.enabled uit te schakelen.
Vservs adviseert websitebeheerders en hostingproviders om alle actieve PHP-installaties te controleren, beschikbare beveiligingsupdates toe te passen en aanvullende beveiligingsinstellingen te verifiëren.