# Wat CERT-EU en CERT-Bund over PHP2Shell adviseren

> Wat CERT-EU, CERT-Bund en het BSI over PHP2Shell adviseren, waar de adviezen overeenkomen en hoe u openbare PHP-toepassingen in de praktijk isoleert.

Bron: https://phpsos.de/nl/blog/cert-eu-empfehlungen-php/  
Stand: 25-10-2026  
Aanbieder: PHP SOS, PHP-noodhulp en serverbeveiliging. Directe hulp via WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wij%20hebben%20hulp%20nodig%20met%20onze%20PHP-server.%20Bedrijf%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kort gezegd:** CERT-EU adviseert volgens berichten PHP-installaties in kaart te brengen, direct te patchen en openbaar bereikbare toepassingen te isoleren als ze niet tijdig gepatcht kunnen worden. CERT-Bund (het Duitse overheids-CERT) en het BSI (de Duitse federale dienst voor informatiebeveiliging) adviseren in hun waarschuwing de directe update en, als die niet kan, getroffen webservers tijdelijk van het net te halen. De adviezen komen in de kern overeen: eerst de update, isolatie als noodoplossing, tussentijdse maatregelen alleen als aanvulling.

## Wie waarschuwt er, en voor wie?

Bij PHP2Shell hebben meerdere officiële instanties binnen enkele uren gereageerd. Voor bedrijven in Duitsland is het BSI met zijn computernoodteam CERT-Bund het eerste adres. CERT-EU is de cyberbeveiligingsdienst van de EU-instellingen; zijn aanwijzingen richten zich eerst tot die instellingen, maar worden in heel Europa gelezen. Volgens BleepingComputer heeft ook het Britse National Cyber Security Centre gewaarschuwd. Uit het bedrijfsleven meldden zich onder meer Huntress en Cloudflare.

Voor u als beheerder is de herkomst minder belangrijk dan de overeenstemming. Als meerdere onafhankelijke instanties hetzelfde adviseren, is dat een sterk signaal.

## CERT-Bund, CERT-EU en anderen: de PHP-waarschuwingen vergeleken

| Instantie | Kernadvies | Bijzonderheid |
|---|---|---|
| BSI / CERT-Bund | direct bijwerken, anders webserver tijdelijk van het net | waarschuwingsniveau 3 / Oranje |
| CERT-EU | PHP-installaties in kaart brengen, direct patchen, anders openbare toepassingen isoleren | achtte volgens berichten versies vanaf PHP 5 mogelijk getroffen |
| UK NCSC | direct bijwerken of getroffen systemen tot de patch van het net halen | volgens BleepingComputer |
| php.net | bijwerken naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35, tussentijdse maatregelen slechts als gedeeltelijke bescherming | primaire bron voor versies en instellingen |

Geen van de instanties adviseert uitsluitend te vertrouwen op een Web Application Firewall of op instellingen in de `php.ini`. Allemaal noemen ze de update als de eigenlijke oplossing. Wat het BSI daarnaast in detail adviseert, staat op de pagina [Wat het BSI over PHP2Shell adviseert](https://phpsos.de/nl/compliance/bsi-empfehlungen/).

## De versievraag: wat „vanaf PHP 5” betekent

CERT-EU achtte volgens berichten mogelijk dat versies vanaf PHP 5 getroffen zijn. Daarbij baseerde de instantie zich volgens vakberichten op informatie die vóór de officiële melding rondging. De vakpers spreekt van bijna alle versies tot en met PHP 5.4.

In de praktijk verandert de precieze grens weinig. Voor PHP 8.1 en ouder levert het PHP-project geen officiële updates meer. Er zijn minimale broncode-backports voor 7.4, 8.0 en 8.1, maar geen releases. Wie nog PHP 5 of 7 draait, is aangewezen op distributies, derde partijen of een migratie. Of uw distributie een correctie heeft geleverd, tonen hun eigen beveiligingspagina's, zoals de Debian Security Tracker, de Ubuntu Security Notices of de aanwijzingen van Red Hat. Commerciële langetermijnaanbiedingen voor oude PHP-versies bestaan ook; of ze PHP2Shell afdekken, moet u schriftelijk door de aanbieder laten bevestigen. Details over de takken staan onder [Welke PHP-versies zijn getroffen?](https://phpsos.de/nl/php2shell/betroffene-php-versionen/) en [PHP 8.1 en ouder](https://phpsos.de/nl/php2shell/php-8-1-und-aelter/).

## Isoleren: zo voert u het advies uit

„Isoleren” klinkt abstract. Bedoeld is dat verzoeken vanaf het internet de kwetsbare PHP-toepassing niet meer bereiken. Afhankelijk van de toepassing zijn er meerdere niveaus:

1. **Volledig uitschakelen:** De website wordt vervangen door een statische noodpagina zonder PHP. Dit is de veiligste variant.
2. **Toegang beperken:** De toepassing blijft in bedrijf, maar is alleen nog bereikbaar via VPN of voor vastgelegde IP-adressen, bijvoorbeeld voor interne portalen.
3. **Voorgeschakelde aanmelding:** Een aanmelding op webserver- of proxyniveau vóór de toepassing. Let op: bij mod_php is een exploit getoond voordat toepassingscode draait. De aanmelding moet daarom vóór PHP werken, niet in de toepassing.
4. **Directe toegang tot de oorsprong blokkeren:** Wie een proxy- of CDN-dienst gebruikt, moet ervoor zorgen dat de server niet daarnaast ook rechtstreeks bereikbaar is.

Een beperking in de webserver kan er zo uitzien, als onschuldige configuratie voor Apache:

```apache
# Toegang alleen vanuit het interne netwerk toestaan (voorbeeldbereik aanpassen)
<Location "/">
    Require ip 192.0.2.0/24
</Location>
```

Test de werking van buitenaf, bijvoorbeeld via een mobiele verbinding. Een isolatie die alleen in het kantoornetwerk is gecontroleerd, is geen gecontroleerde isolatie.

> **Tip:**
> Isoleren is een overbrugging. Leg bij het isoleren meteen vast tegen wanneer de update komt en wie haar installeert. Anders wordt van de noodoplossing een blijvende toestand.

## Wat de adviezen gemeenschappelijk vragen: een inventaris

Alle officiële instanties veronderstellen dat u weet waar PHP draait. Juist daaraan schort het in veel bedrijven: microsites van oude campagnes, een vergeten klantenportaal, een testsysteem met openbaar adres, een toepassing op een NAS. CERT-EU noemt het in kaart brengen van de PHP-installaties uitdrukkelijk als eerste stap.

Vergeten systemen vindt u het best via drie wegen: de DNS-zones van uw domeinen, de lijst van uitgegeven TLS-certificaten en de contracten met bureaus, hostingproviders en softwareleveranciers. Elke vermelding waarvan niemand meteen kan zeggen wat erachter draait, hoort op de controlelijst. Juist zulke systemen zijn bij een situatie als PHP2Shell gevaarlijk, omdat niemand ze patcht en niemand ze mist als ze worden gecompromitteerd.

Een bruikbare inventaris bevat per systeem: adres, doel, beheerder, PHP-versie en uitvoeringsmodus, herkomst van de pakketten en de contactpersoon voor updates. Hoe u die opbouwt en actueel houdt, laat de bijdrage [Inventaris van alle websites en servers](https://phpsos.de/nl/blog/inventar-websites-server/) zien.

## Hoe helpt PHP SOS concreet?

- **Inventarisatie:** Wij stellen uw openbaar bereikbare PHP-systemen vast en rangschikken ze naar risico.
- **Patch of isolatie:** Wij installeren updates of isoleren toepassingen die niet direct gepatcht kunnen worden, en controleren de werking van buitenaf.
- **Oude versies:** Voor systemen met PHP 8.1 en ouder plannen wij samen met u de weg naar een ondersteunde stand.
- **Bewijs:** U ontvangt een documentatie van de uitgevoerde adviezen per systeem.

Hoe wij oude toepassingen naar ondersteunde versies brengen, beschrijft de dienst [PHP-migratie voor legacysystemen](https://phpsos.de/nl/leistungen/php-migration-legacy/).

## Conclusie

CERT-EU, CERT-Bund, BSI en het PHP-project spreken met één stem: bijwerken, en waar dat niet direct kan, isoleren. De verschillen zitten in details zoals de versiegrens. Voor uw praktijk telt de eerste stap die iedereen veronderstelt: weten waar PHP overal draait.


## Veelgestelde vragen

**Wat is het verschil tussen CERT-Bund en CERT-EU?**  
CERT-Bund is het computernoodteam bij het BSI en waarschuwt in Duitsland voor kwetsbaarheden. CERT-EU is de cyberbeveiligingsdienst van de instellingen en organen van de Europese Unie. Beide geven adviezen uit die ook voor bedrijven nuttig zijn.

**Wat betekent het om een PHP-toepassing te isoleren?**  
De toepassing is daarna niet meer vrij bereikbaar vanaf het internet. Dat kan met een noodpagina, met toegang alleen via VPN of bepaalde IP-adressen of met volledig uitschakelen. Beslissend is dat verzoeken van buiten het kwetsbare PHP-proces niet meer bereiken.

**Zijn volgens CERT-EU ook PHP 5-versies getroffen?**  
CERT-EU achtte volgens berichten mogelijk dat versies vanaf PHP 5 getroffen zijn, op basis van informatie die vóór de officiële melding rondging. De vakpers noemt bijna alle versies tot en met PHP 5.4. Voor zulke oude versies zijn er geen officiële updates.

**Zijn er officiële herkenningskenmerken voor aanvallen?**  
Nee. Er zijn tot nu toe geen gepubliceerde, bevestigde Indicators of Compromise voor PHP2Shell. De herkenning berust op gedragsanalyse, bijvoorbeeld op webserverprocessen die shells starten of nieuwe PHP-bestanden in uploadmappen.

## Bronnen

- [BSI: Bundesamt für Sicherheit in der Informationstechnik (Duitse federale dienst voor informatiebeveiliging)](https://www.bsi.bund.de/)
- [php.net: beveiligingsmeldingen](https://www.php.net/)
- [BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws](https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws)