PHP2Shell: alles over het kritieke PHP-lek
Twee kritieke kwetsbaarheden in PHP zelf, CVSS 9.2, schadelijke code zonder inloggen. Hier leest u wat vaststaat, welke versies veilig zijn en wat u nu doet.
Wat is PHP2Shell? Het lek eenvoudig uitgelegd
PHP2Shell zijn twee kritieke kwetsbaarheden in PHP zelf, waarmee aanvallers zonder inloggen code op webservers kunnen uitvoeren. De situatie in heldere taal.
Lees verder →02CVE-2026-109618: RCE door out-of-memory-toestand
CVE-2026-109618 is een van de twee PHP2Shell-kwetsbaarheden: een out-of-memory-toestand kan PHP midden in de verwerking van een verzoek onderbreken. Verholpen vanaf PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Lees verder →03CVE-2026-109619: RCE door verouderde globale toestand
CVE-2026-109619 is de tweede PHP2Shell-kwetsbaarheid: interne toestand van een verzoek kan na het vrijgeven van geheugen blijven bestaan en door het volgende verzoek in dezelfde worker worden gebruikt.
Lees verder →04CVE-2026-115560: aanwijzing over session upload progress
CVE-2026-115560 is een aanwijzing van php.net van 23 oktober 2026: mogelijke code-uitvoering alleen bij een ongebruikelijke sessieconfiguratie. Remedie tot de volgende release: session.upload_progress.enabled=0.
Lees verder →05Welke PHP-versies zijn getroffen?
PHP2Shell is verholpen in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder zijn er geen officiële updates meer. De tabel toont de stand per tak.
Lees verder →06PHP-versie en patchstand goed controleren
De getoonde PHP-versie alleen zegt niet of PHP2Shell gedicht is. Beslissend zijn pakketstand, backports en of de nieuwe processen echt draaien.
Lees verder →07Waarom mod_php het hoogste risico draagt
Bij Apache met mod_php schat het PHP-team het risico van PHP2Shell het hoogst in: daar is een exploit getoond voordat toepassingscode draait. Zo controleert en handelt u.
Lees verder →08Na de update: PHP-FPM en alle workers herstarten
Een PHP-update werkt pas als alle PHP-processen zijn herstart. Hier de opdrachten voor PHP-FPM, Apache, LiteSpeed en containers en hoe u de herstart controleert.
Lees verder →09Spoedmaatregelen als u nog niet kunt patchen
Is de PHP-update nog niet mogelijk, dan verkleinen de overbruggingsmaatregelen van php.net het risico, maar ze beschermen niet volledig. Zo stelt u ze goed in.
Lees verder →10PHP 8.1 en ouder: wat nu geldt
Voor PHP 8.1, 8.0, 7.4 en oudere versies zijn er tegen PHP2Shell geen officiële updates. Wat de broncode-backports doen en hoe de weg naar een ondersteunde versie eruitziet.
Lees verder →11PHP in Docker-containers patchen
Containers patchen zichzelf niet. Tegen PHP2Shell moet u het PHP-image opnieuw bouwen of ophalen en elke container opnieuw aanmaken uit het nieuwe image.
Lees verder →12Ben ik al gecompromitteerd? Tekenen na PHP2Shell
Voor PHP2Shell zijn er geen bevestigde Indicators of Compromise. Waaraan u toch herkent of uw server is gehackt en hoe u controleert zonder sporen te vernietigen.
Lees verder →Elk uur telt. Schrijf ons nu.
Beschrijf kort het systeem, de PHP-versie en wat u opmerkt. Wij nemen contact op, brengen de situatie in kaart en werken op afstand tot het incident is afgerond en gedocumenteerd.