Kort gezegd: Het BSI heeft voor PHP2Shell waarschuwingsniveau 3 (oranje) afgekondigd. Het advies is ondubbelzinnig: werk PHP onmiddellijk bij en haal getroffen webservers, als dat niet meteen kan, tijdelijk van het net. Het BSI verwachtte snelle grootschalige uitbuiting; bevestigde geslaagde aanvallen op brede schaal waren aanvankelijk niet bekend.
De BSI-waarschuwing over PHP in het kort
Het Bundesamt für Sicherheit in der Informationstechnik is de centrale vakautoriteit voor cyberbeveiliging in Duitsland. Voor PHP2Shell heeft het een waarschuwing van niveau 3 (oranje) gepubliceerd. Aanleiding zijn twee kritieke kwetsbaarheden in PHP zelf: CVE-2026-109618 en CVE-2026-109619, beide beoordeeld met CVSS v4.0 9.2. Ze stellen aanvallers in staat om zonder inloggen schadelijke code op de server uit te voeren.
De kernuitspraken van de waarschuwing laten zich zo samenvatten:
| Uitspraak | Betekenis voor exploitanten |
|---|---|
| Waarschuwingsniveau 3 / oranje | ernstige situatie, handelen nodig |
| Onmiddellijke update geadviseerd | gecorrigeerde PHP-versies doorvoeren |
| Anders tijdelijk van het net | bereikbaarheid ondergeschikt maken aan bescherming |
| Snelle grootschalige uitbuiting verwacht | niet wachten op eerste schademeldingen |
| Geslaagde aanvallen op brede schaal aanvankelijk niet bevestigd | geen reden voor geruststelling |
De telkens actuele versie vindt u op de website van het BSI.
Wat „onmiddellijk bijwerken” praktisch betekent
Het PHP-project heeft op 21-10-2026 om 14.00 uur UTC (16.00 uur Duitse tijd) de gecorrigeerde versies uitgebracht: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder zijn er geen officiële updates meer, alleen minimale backports van de broncode voor 7.4, 8.0 en 8.1.
Een update is pas effectief als alle PHP-processen zijn herstart. Nieuwe bestanden alleen volstaan niet zolang oude workers in het geheugen draaien. Bovendien geldt: distributies en hostingproviders voeren correcties deels als backport door. Dan toont bijvoorbeeld Plesk nog steeds 8.2.34, hoewel er is gepatcht. Beslissend zijn de pakketstatus en de bevestiging van de aanbieder. En een CMS-update, bijvoorbeeld van WordPress, sluit de PHP-kwetsbaarheid niet.
Als een update niet meteen mogelijk is
Voor dit geval adviseert het BSI de webservers tijdelijk van het net te halen. Dat is een harde maatregel, maar een duidelijke. Voor veel bedrijven is een geplande uitval van enkele uren minder schadelijk dan een inbraak met gegevensuitstroom.
php.net noemt aanvullend overbruggingsmaatregelen die het risico verlagen, maar uitdrukkelijk geen volledige bescherming bieden. Daartoe behoren session.upload_progress.enabled=0 in de serverconfiguratie, beperkte post_max_size-waarden, geheugengrenzen via containers of cgroups en op PHP 8.5 fatal_error_backtraces=0, telkens met een daaropvolgende herstart van alle workers. Details vindt u onder Directe maatregelen zonder patch.
Draait een openbaar bereikbare webserver nog met ongepatchte PHP en zonder overbruggingsmaatregelen, dan volgt uit het BSI-advies: server van het net halen totdat de update is doorgevoerd en alle processen zijn herstart.
Duiding van de situatie
Het BSI staat met zijn beoordeling niet alleen. Cloudflare meldde waargenomen aanvalspogingen en heeft beschermingsregels uitgerold, maar waarschuwt dat regels op basis van alleen de verzoekgegevens niet volstaan. Palo Alto Networks (Unit 42) telde meer dan 22,6 miljoen blootgestelde, potentieel kwetsbare instanties. Volgens mediaberichten werd al op 17-10-2026 een eerste aanvalspoging waargenomen, dus vóór de publicatie van de patches.
Voor exploitanten volgt daaruit een nuchtere beoordeling: wie tot nu toe niet heeft gepatcht, moet niet alleen patchen, maar ook controleren of er al iets is gebeurd. Een patch verwijdert geen ingebrachte schadelijke software. Gepubliceerde, bevestigde Indicators of Compromise zijn er niet; de detectie berust op gedragsanalyse. De vakpers raadt aan serverlogs vanaf 20-10-2026 te bewaren. Aanwijzingen voor het onderzoek staan onder Ben ik al gecompromitteerd?.
Wat het advies voor verantwoordelijken betekent
Een BSI-waarschuwing is geen wet. Het is echter de beoordeling van de bevoegde vakautoriteit en kan bij de latere beoordeling van besluiten een rol spelen, bijvoorbeeld bij verzekeraars of controleurs. Bedrijfsleidingen moeten daarom documenteren wanneer zij van de waarschuwing hebben gehoord, hoe zij de eigen systemen hebben beoordeeld en welke maatregelen zij hebben genomen. Algemene aanwijzingen daarover staan onder Aansprakelijkheid van de directie; dit is geen juridisch advies.
Voor de praktijk is het aan te raden de waarschuwing niet slechts eenmaal te lezen. Het BSI actualiseert zijn meldingen als de situatie verandert, bijvoorbeeld bij nieuwe inzichten over uitbuiting of over andere kwetsbaarheden. Sinds 23-10-2026 is er bovendien een aanwijzing van php.net over CVE-2026-115560, die alleen ongebruikelijke configuraties betreft en eveneens wordt ontzien met session.upload_progress.enabled=0. Benoem een persoon die het BSI en php.net tot de afronding van de situatie dagelijks controleert en wijzigingen doorgeeft aan techniek en leiding. Zo ontstaat er geen kennisverschil tussen degenen die beslissen en degenen die uitvoeren.
Hoe helpt PHP SOS concreet?
- Wij vergelijken uw webservers met het BSI-advies: versie, pakketstatus, herstart, bereikbaarheid.
- In het kader van de PHP2Shell-noodhulp patchen we, herstarten we alle processen en leveren we bewijs.
- Waar een update niet meteen kan, stellen we overbruggingsmaatregelen in en zetten we zo nodig een statische vervangende pagina klaar.
- Wij leggen logs vast en controleren op sporen, zodat u de situatie na de patch betrouwbaar kunt beoordelen.
Veelgestelde vragen
Wat betekent waarschuwingsniveau 3 (oranje) bij het BSI (de Duitse federale dienst voor informatiebeveiliging)?
De kleur beschrijft een verhoogde, ernstige dreigingssituatie waarin actie nodig is. Bij PHP2Shell motiveert het BSI dit met de kritiekheid van de kwetsbaarheden en de verwachte snelle uitbuiting. De precieze definitie van de niveaus vindt u op de website van het BSI.
Moet ik het advies van het BSI opvolgen?
Een waarschuwing van het BSI is een aanbeveling, geen wet. Het is echter een zwaarwegende beoordeling van de bevoegde vakautoriteit waaraan verzekeraars, controleurs en rechters zich kunnen oriënteren. Wie afwijkt, moet de redenen documenteren. Dit is geen juridisch advies.
Waren er volgens het BSI al geslaagde aanvallen?
Bevestigde geslaagde aanvallen op brede schaal waren volgens het BSI aanvankelijk niet bekend. Het BSI verwachtte echter snelle grootschalige uitbuiting. Andere instanties meldden al aanvalspogingen.
Waar vind ik de actuele versie van de waarschuwing?
Op de website van het BSI onder de actuele beveiligingswaarschuwingen. De situatie kan veranderen; controleer daar en op php.net regelmatig de nieuwste stand.