PHP2Shell-kwetsbaarheid: stand van zaken

Kritieke PHP-kwetsbaarheden: wat betekent dit voor u?

Onze systemen zijn veilig, een aantal PHP-systemen is tijdelijk offline

Er zijn twee kritieke kwetsbaarheden in PHP ontdekt (CVE-2026-109618 en CVE-2026-109619), beter bekend onder de naam 'php2shell'. Wij hebben direct onze scans uitgevoerd. Daaruit blijkt dat LD ICT niet is getroffen. Onze eigen website is gebouwd op Next.js en draait niet op PHP.

Een aantal systemen dat wel op PHP draait, hebben we uit voorzorg direct uitgeschakeld. Deze systemen verwijzen tijdelijk door naar deze pagina. Nu het PHP-team de officiële beveiligingsupdates heeft vrijgegeven (vandaag om 16:00 uur), zijn wij direct gestart met het testen en doorvoeren van de patches om de systemen zo snel mogelijk weer veilig online te brengen.

Wat is er aan de hand?

PHP is een veelgebruikte scriptingtaal: 69,3 procent van alle websites wereldwijd draait erop. De twee kwetsbaarheden scoren 9,2 op de CVSS v4.0-schaal en zitten al in de kern van PHP sinds versie 5.4.0 uit 2012. Aanvallers kunnen via een eenvoudig netwerkverzoek (POST-request) op afstand code uitvoeren (Remote Code Execution). Hiermee kunnen servers volledig worden overgenomen, malware worden verspreid of gegevens worden gestolen.

Het officiële PHP-team heeft zojuist de patches uitgebracht voor de ondersteunde versies PHP 8.2 tot en met 8.5. Oudere versies (PHP 8.1 en lager) zijn End-of-Life (EOL) en krijgen geen officiële updates. Omdat er inmiddels een werkende demonstratiecode (PoC) op internet is gedeeld en er actieve misbruikpogingen worden waargenomen, is direct handelen noodzakelijk.

Tijdlijn van de gebeurtenissen (oktober 2026)

20 oktober: De kritieke kwetsbaarheden lekken voortijdig uit op internet. Het PHP-beveiligingsteam reageert direct met een noodwaarschuwing en kondigt een vervroegde, wereldwijde noodpatch aan.
21 oktober (ochtend): Het Nationaal Cyber Security Centrum (NCSC) adviseert Nederlandse organisaties om direct voorbereidingen te treffen voor het offline halen of patchen van systemen. Beveiligingsonderzoekers publiceren een Proof of Concept (werkende code), en securitybedrijven waarschuwen voor grootschalige automatische aanvallen.
21 oktober (15:34 uur): De kwetsbaarheden worden officieel gepubliceerd via GitHub Security Advisories. Grote netwerkbeheerders zoals Cloudflare melden de eerste actieve misbruikpogingen in het wild.
21 oktober (16:00 uur / Nu): Het PHP-team geeft de officiële updates vrij. LD ICT start direct met de patch- en updateronde voor alle beheerde klantsystemen.

Heeft u zelf een PHP-website?

Wij denken graag met u mee om uw omgeving te beveiligen:

Directe controle & Beveiligingsscan: Wij controleren direct welke PHP-versie uw site gebruikt en of deze via internet blootgesteld is.
Nood-updates (Patchen): Wij voeren de zojuist beschikbaar gestelde updates voor PHP 8.2, 8.3, 8.4 en 8.5 direct en veilig voor u uit.
Migratie van verouderde PHP-versies: Draait uw site op PHP 8.1 of ouder? Deze versies krijgen geen updates. Wij helpen u met een spoed-upgrade naar een veilige PHP 8.x-versie.
Tijdelijke WAF-afscherming: Indien direct updaten niet mogelijk is, richten we netwerkfilters of Web Application Firewall (WAF)-regels in om kwaadaardige verzoeken te blokkeren.
Een moderne, toekomstbestendige website: Overweegt u PHP volledig te verlaten? Wij bouwen moderne, razendsnelle websites op Next.js, net als onze eigen site.

Neem gerust contact met ons op voor directe hulp. Het internet is op dit moment onveilig voor ongepatchte PHP-websites.

LD ICT