bolt AI en technologie · 7 min
De PHP-fout die overheden sites offline liet halen — en wat nu
flash_on In 20 seconden
De twee fouten hebben een score van 9,2 (CVSS 4.0), in de kritieke bandbreedte.
Een externe aanvaller kan opdrachten op de server uitvoeren zonder geauthenticeerd te zijn.
Pogingen sinds 17 okt; op 26 okt nam het Amerikaanse agentschap CISA ze op in de lijst van misbruikte kwetsbaarheden.
Plugins en thema's lossen het niet op: je moet PHP zelf updaten en herstarten.
Op 21 oktober 2026 bracht de PHP Foundation noodoplossingen uit voor twee kritieke fouten, CVE-2026-109618 en CVE-2026-109619, die de bijnaam PHP2Shell kregen. Daarmee kan een aanvaller opdrachten uitvoeren op de server van een site zonder in te loggen. PHP draait een enorm deel van het internet: TechCrunch noemt ongeveer 70% van de sites, een schatting die daalt, en dat omvat WordPress, webshops en veel portals.
De reactie was snel. Volgens de pers gingen publieke sites in Duitsland, Frankrijk, België, Nederland en Finland uit voorzorg offline, en Nederland schortte tijdelijk DigiD op, de toegang van burgers tot overheidsdiensten. In Brazilië publiceerde CTIR Gov een waarschuwing met de oproep aan overheidsinstanties om PHP-systemen op te sporen en de oplossingen te installeren. Tot 24 oktober meldde TechCrunch dat een massale aanval nog niet bevestigd was, maar de pogingen waren al echt, en veel servers blijven zonder oplossing.
schedule Wat er gebeurde, dag voor dag
- ~17 oktAmazon detecteert de eerste poging tot misbruik, vier dagen voor de openbare aankondiging.
- 21 oktPHP brengt de gecorrigeerde versies uit. De PHP Foundation zegt dat een bedrijf de patches uren voor het afgesproken geheimhoudingstermijn publiceerde.
- 21–22 oktOverheden en bedrijven halen sites uit voorzorg offline. Cloudflare meldt een sterke toename van pogingen tot misbruik.
- 23–26 oktTrail of Bits bevestigt exploits die werken tegen PHP 8.2 tot 8.5 zonder correctie.
- 26 oktCISA neemt de twee fouten op in de catalogus van misbruikte kwetsbaarheden (KEV); Amerikaanse federale instanties hebben tot 29 okt om te corrigeren.
translate Wat is dit, zonder jargon
PHP is de 'taal' die veel sites laat werken: het ontvangt je verzoek, haalt de gegevens op en bouwt de pagina. Het draait binnen de server, en daarom is een fout erin meer waard dan een fout in een plugin: wie ervan profiteert, heeft de hele server in handen.
Het zijn twee fouten in geheugenbeheer. Bij de eerste, wanneer het geheugen van de server midden in een verzoek uitgeput raakt, ruimt PHP gegevens op die nog half klaar waren en behandelt wat overblijft alsof het geldig is. Bij de tweede wijst informatie die een eerder verzoek achterliet naar geheugen dat al is vrijgegeven, en het volgende verzoek gebruikt dan dat 'afval'. Met genoeg techniek zet een aanvaller die fout om in het uitvoeren van opdrachten, de zogenoemde remote code execution (RCE). Vandaar de bijnaam: PHP + shell, de commandoregel van de server.
person_alert Hoe dit jouw leven kan raken
- Sites die je gebruikt (winkel, bank, gemeente, ziekenhuis, games) kunnen uren of dagen offline zijn terwijl ze worden gecorrigeerd.
- Als de server van een site wordt overgenomen, kan de aanvaller gegevens lezen die in het geheugen en de database staan. Daarom moeten beheerders wachtwoorden en sleutels vervangen, en moet jij het wachtwoord wijzigen van diensten die een incident melden.
- Als je een site, blog of winkel hebt (WordPress en vergelijkbaar), kan die worden gebruikt voor oplichting, spam, doorverwijzen van bezoekers of verbergen van kwaadaardige programma's, en Google kan hem als gevaarlijk markeren.
- PHP zit ook ingebouwd in andere producten: TechCrunch noemt componenten van routers, opslagapparatuur, firewalls en VPN's. Het is niet altijd duidelijk dat er PHP in zit.
- Oplichters maken misbruik van angst. Wantrouw e-mails en berichten die zeggen dat je site of account is gehackt en om een wachtwoord, betaling of installatie van een programma vragen.
shield Wie loopt risico
De oudste fout die onderzoekers vonden, gaat terug tot PHP 5.4. Bekijk de situatie per versie:
- PHP 8.5 vóór 8.5.12, 8.4 vóór 8.4.27, 8.3 vóór 8.3.36, 8.2 vóór 8.2.35: kwetsbaar. Corrigeer door naar deze versies of nieuwer te updaten.
- PHP 7.4 tot 8.1: geen officiële correctieversie, alleen backports van sommige leveranciers. Vraag het je hosting of migreer.
- PHP 5.4 tot 7.3: end-of-life, geen correctie van PHP. Migreer.
- Ubuntu, Debian, CloudLinux en cPanel houden vaak het oude nummer aan en corrigeren 'van binnenuit' in het pakket, dus kijk naar de melding van de leverancier en niet alleen naar het versienummer.
checklist Wat je nu moet doen: als je een site hebt
- Zoek uit welke PHP-versie je site bedient: in het hostingpaneel (in cPanel 'Select PHP Version') of vraag het de support. Let op: het commando php -v toont de PHP van de commandoregel, die anders kan zijn dan degene die de site bedient.
- Update naar een gecorrigeerde versie (8.5.12, 8.4.27, 8.3.36, 8.2.35 of nieuwer) of installeer het gecorrigeerde pakket van je leverancier.
- Herstart de PHP-processen. Het pakket installeren lost een proces dat al draait niet op.
- Vertrouw niet op tijdelijke instellingen: ze verlagen het risico, maar maken de installatie niet veilig.
- Zit je op PHP 8.1 of ouder zonder ondersteuning? Migreer naar een ondersteunde versie (bij voorkeur 8.4 of 8.5). Als dat nu niet kan, overweeg de site offline te halen of in onderhoud te zetten tot het is opgelost.
- Zoek naar tekenen van inbraak, vooral sinds 17 okt: nieuwe en vreemde bestanden, PHP-processen die opdrachten uitvoeren of programma's downloaden, abnormaal verkeer. Als je iets vindt, verwijder het niet: bewaar het bewijs en schakel een specialist in.
- Vervang wachtwoorden en sleutels van de server (database, e-mail, API's). Als je UpdraftCentral op WordPress gebruikt, verwijder de sleutels ervan: Patchstack meldt dat aanvallers geldige sleutels gebruiken om backdoors te installeren.
- Een application firewall (WAF), zoals die van Cloudflare, is een lapmiddel, niet de oplossing: hij beschermt alleen verkeer dat erdoorheen gaat.
person En als ik alleen internet gebruik?
- Gebruik verschillende wachtwoorden per dienst en schakel tweestapsverificatie in.
- Als een winkel of dienst een incident meldt, wijzig je wachtwoord en let op je transacties.
- Houd je telefoon en computer up-to-date en installeer niets vanuit een 'beveiligings'-e-mail.
hub Het is niet alleen PHP: wat dit laat zien
Dit is niet de eerste keer dat een verborgen onderdeel onder alles de halve wereld bedreigt. Heartbleed (2014) zat in OpenSSL, dat beveiligde verbindingen beschermt. Log4Shell (2021) zat in Log4j, een Java-logbibliotheek die in miljoenen systemen wordt gebruikt. In 2024 werd een achterdeur geplant in XZ Utils, een compressiehulpprogramma op veel Linux-servers, en die werd bij toeval ontdekt.
Het patroon herhaalt zich: componenten die niemand ziet, oude software die moeilijk te updaten is en geheugenfouten in talen die de programmeur niet tegen dat soort fouten beschermen. TechCrunch merkt op dat de migratie naar veiligere talen vordert, maar onvolledig is, en dat onderzoekers zeggen dat AI-tools het vinden van fouten versnellen; Calif en Wiz, die deze vonden, gebruikten AI in hun werk. Geen enkele technologie is immuun.
Wat in elk geval helpt: weten wat je draait (serverbesturingssysteem, WordPress en plugins, bibliotheken, containers, zelfs de router), iemand hebben die de waarschuwingen volgt en snel updaten.
menu_book Woordenlijst
- RCE (remote code execution)
- Wanneer een aanvaller de server op afstand opdrachten kan laten uitvoeren.
- CVE
- Catalogusnummer van een openbare beveiligingsfout. Hier: CVE-2026-109618 en CVE-2026-109619.
- CVSS
- Ernstscore van 0 tot 10. Boven 9 is kritiek; deze hebben 9,2.
- Patch
- Correctie van de fabrikant die de fout verhelpt.
- mod_php / PHP-FPM
- Manieren waarop de webserver PHP draait. PHP beschouwt mod_php van Apache als het meest riskant.
- Use-after-free
- Fout waarbij het programma geheugen gebruikt dat al aan het systeem is teruggegeven, wat door aanvallers kan worden misbruikt.
- Exploit
- Code of techniek die misbruik maakt van een fout.
- KEV
- CISA-catalogus van fouten die in de praktijk al worden misbruikt.
- WAF
- Application firewall: filter dat probeert kwaadaardige verzoeken tegen te houden voordat ze de site bereiken.
- Backdoor / webshell
- Achterdeur die een aanvaller achterlaat om later terug te komen op de server.
help Wat nog niet bekend is
- Hoeveel sites daadwerkelijk zijn gehackt: tot 24 okt was een massale aanval niet bevestigd
- Hoe het misbruik vóór de aankondiging begon (lek, onafhankelijke ontdekking of spionage): niets bevestigd
- Of de versies 7.4 tot 8.1 een volledige correctie van de leveranciers krijgen
forum Veelgestelde vragen
Mijn site is WordPress. Lost het updaten van plugins en thema's het op?expand_more
Nee. De fout zit in PHP, dat onder WordPress draait. Alleen de update van PHP (of het gecorrigeerde pakket van je leverancier) lost het op, gevolgd door een herstart.
Hoe ontdek ik de PHP-versie van mijn site?expand_more
Via het hostingpaneel (in cPanel: Select PHP Version) of door het de support te vragen. Het commando php -v toont de versie van de commandoregel, die anders kan zijn dan degene die de site bedient.
Wordt dit al gebruikt in aanvallen?expand_more
Ja, er is misbruik waargenomen: Amazon registreerde een poging op 17 okt, en CISA nam de fouten op 26 okt op in de catalogus van misbruikte kwetsbaarheden. Een bevestigde massale aanval was tot 24 okt echter niet gemeld.
Moet ik iets doen als ik alleen sites en apps gebruik?expand_more
Je hoeft hierdoor niets te installeren, maar het is verstandig verschillende wachtwoorden per dienst te gebruiken, tweestapsverificatie in te schakelen en wantrouwig te zijn tegenover 'beveiligings'-berichten die om een wachtwoord of betaling vragen.
Mijn hosting gebruikt PHP 7.4. En nu?expand_more
PHP heeft geen officiële correctie uitgebracht voor de serie 7.4 tot 8.1. Vraag je hosting of er een eigen correctie is en plan een migratie naar een ondersteunde versie (8.4 of 8.5).
newspaper Lees ook
link Bronnen (6)
- CISA — Critical Vulnerabilities in PHP Require Immediate Patching
- Tenable — php2shell (CVE-2026-109618, CVE-2026-109619): Critical PHP RCE FAQ
- TechCrunch — PHP-ocalypse: How two critical web bugs almost broke the internet
- Patchstack — Major security alert: PHP vulnerable to critical RCE, attacks ongoing
- Gazeta do Povo — Falha de segurança leva governos e empresas a tirar sites do ar em vários países
- Help Net Security — PHP2Shell: Critical PHP vulnerabilities patched, update now!
Zo werken wij: alleen feiten die in de genoemde bronnen staan; citaten woord voor woord gecontroleerd; geen mening en geen voorspellingen. Geschreven met hulp van kunstmatige intelligentie en gecontroleerd met automatische regels.