Kort gezegd: De PHP2Shell-tijdlijn omvat tot nu toe vier gedocumenteerde data: een eerste waargenomen aanvalspoging op 17-10., de voorafgaande aankondiging door php.net op 20-10., de patches op 21-10. om 16:00 uur Duitse tijd en een aanvullende melding over CVE-2026-115560 op 23-10-2026. Voor beheerders volgt hieruit: patchen, alle PHP-processen herstarten en logs uiterlijk vanaf 20-10. veiligstellen.
Waarom een PHP2Shell-tijdlijn voor beheerders belangrijk is
Bij een kwetsbaarheid van deze ernst telt niet alleen of uw server vandaag gepatcht is. Net zo belangrijk is hoe lang hij daarvoor kwetsbaar was. Dat tijdvenster bepaalt welke logs u veiligstelt, welke bestanden u controleert en of u een compromittering met goede gronden kunt uitsluiten.
PHP2Shell treft PHP zelf, niet één bepaald CMS. Twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, maken het mogelijk om op afstand en zonder aanmelding schadelijke code uit te voeren. Beide zijn beoordeeld met CVSS v4.0 9.2. Een begrijpelijke inleiding vindt u onder Wat is PHP2Shell?.
De onderstaande chronologie bevat alleen data die per 25-10-2026 zijn gedocumenteerd. Waar een gegeven op mediaberichten berust, staat dat erbij.
| Datum | Gebeurtenis | Bron |
|---|---|---|
| 17-10-2026 | Eerste waargenomen aanvalspoging (Amazon) | Mediaberichten |
| 20-10-2026 | Aankondiging vooraf door php.net | php.net |
| 21-10-2026, 14:00 UTC | Publicatie van de patches (16:00 uur Duitse tijd) | php.net |
| 23-10-2026 | Melding over CVE-2026-115560 | php.net |
| 25-10-2026 | Stand van dit overzicht | – |
17 oktober: de eerste waargenomen aanvalspoging
Volgens mediaberichten werd op 17-10-2026 een eerste aanvalspoging waargenomen, gemeld door Amazon. Dat was vier dagen vóór de patches. Er was dus een periode waarin al aanvallen werden geprobeerd, maar nog geen update bestond.
Of en hoeveel aanvallen in die fase slaagden, is niet gedocumenteerd. Belangrijk is wat dit betekent voor uw eigen controle: een server die vandaag gepatcht is, kan daarvoor zijn gecompromitteerd. Een patch verwijdert geen binnengebrachte schadelijke software en bewijst niet dat er eerder niets is gebeurd.
20 en 21 oktober: aankondiging en patches
Op 20-10-2026 kondigde het PHP-project de beveiligingsupdates aan op php.net. Op 21-10-2026 om 14:00 UTC, dus 16:00 uur Duitse tijd, volgden de verholpen versies.
| Tak | Laatste kwetsbare stand | Verholpen in |
|---|---|---|
| PHP 8.5 | 8.5.11 | 8.5.12 |
| PHP 8.4 | 8.4.26 | 8.4.27 |
| PHP 8.3 | 8.3.35 | 8.3.36 |
| PHP 8.2 | 8.2.34 | 8.2.35 |
Voor PHP 8.1 en ouder zijn er geen officiële updates meer, alleen minimale backports van de broncode voor 7.4, 8.0 en 8.1. Volgens de vakpers zijn vrijwel alle versies tot en met PHP 5.4 getroffen. Getroffen zijn de uitvoeringsmodi PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het hoogste risico ziet het PHP-team bij mod_php, waar een exploit is gedemonstreerd voordat er zelfs maar toepassingscode draait.
Distributies en hosters installeren soms backports. Dan toont bijvoorbeeld Plesk nog steeds 8.2.34, terwijl de server gepatcht is. Doorslaggevend zijn de pakketstand en de bevestiging van de aanbieder, niet het getoonde versienummer. Hoe u dat netjes controleert, staat onder PHP-versie en patchstand goed controleren.
23 oktober: melding over CVE-2026-115560
Op 23-10-2026 publiceerde het PHP-project een aanvullende melding, ditmaal over CVE-2026-115560. Misbruik is daarna alleen mogelijk bij een ongebruikelijke configuratie: in de configuratie staat de serialize_handler php_binary of php_serialize, de toepassing zet hem vóór session_start() via ini_set() om naar php, en session upload progress is actief.
De tussenoplossing is eenvoudig en moet worden ingesteld, ook als u deze constellatie bij uzelf niet kent:
; in php.ini, in de FPM-pool of in de serverconfiguratie
; niet via ini_set() of .user.ini
session.upload_progress.enabled = 0
Herstart daarna alle PHP-workers. Het volledige advisory volgt naar verwachting met de volgende reguliere bugfixrelease. Tot dan blijft deze instelling de aanbevolen tussenoplossing.
Stand 25 oktober: situatie en openstaande vragen
Het BSI (de Duitse federale dienst voor informatiebeveiliging) heeft waarschuwingsniveau 3 / oranje afgekondigd. Het adviseert direct te updaten en, als dat niet meteen kan, de webservers tijdelijk van het netwerk te halen. Het BSI verwachtte snel grootschalig misbruik; bevestigde succesvolle aanvallen op brede schaal waren volgens het BSI aanvankelijk niet bekend. De beoordeling van het BSI vat de pagina Wat het BSI over PHP2Shell adviseert samen.
Cloudflare meldde waargenomen aanvalspogingen en heeft beschermingsregels uitgerold, maar waarschuwt dat regels die alleen op de aanvraaggegevens zijn gebaseerd niet volstaan. Palo Alto Networks (Unit 42) telde meer dan 22,6 miljoen blootgestelde, mogelijk kwetsbare instanties. Bevestigde Indicators of Compromise zijn niet gepubliceerd; detectie berust op gedragsanalyse.
Enkele aanbieders hebben websites voorzorgshalve offline gehaald. Dat betekent niet automatisch dat die sites zijn gehackt. Openstaand is op het moment van dit overzicht vooral hoeveel servers in de tijd vóór de patch daadwerkelijk zijn gecompromitteerd.
Wat de tijdlijn betekent voor uw logs en controles
Uit de data volgen drie periodes: vóór 17-10., tussen 17-10. en uw eigen patch- en herstartmoment, en daarna. De middelste periode is de kritieke. Hoe langer die bij u duurde, hoe grondiger de controle moet zijn.
De vakpers adviseert serverlogs te bewaren vanaf 20-10-2026. Zet ook bestaande oudere logs veilig voordat de automatische rotatie ze verwijdert.
Een eenvoudige manier om logs ongewijzigd veilig te stellen en de stand vast te leggen:
# Logs gebundeld veiligstellen (paden aan uw systeem aanpassen)
sudo tar czf /root/logs-sicherung-$(date +%F).tar.gz /var/log/apache2 /var/log/nginx /var/log/php*
# Controlesom voor het latere bewijs
sha256sum /root/logs-sicherung-*.tar.gz
# Hoe lang bewaart het systeem logs?
grep -R "rotate" /etc/logrotate.d/
Noteer bovendien wanneer precies de update is ingespeeld en wanneer de PHP-processen zijn herstart. Nieuwe bestanden alleen beschermen niet zolang oude processen in het geheugen draaien. Hoe u veiliggestelde logs analyseert, beschrijft de gids Webserverlogs na een aanval analyseren.
Hoe helpt PHP SOS concreet?
- Samen met u bepalen we het daadwerkelijke kwetsbaarheidsvenster van uw server: pakketstand, patchmoment, herstart van alle workers.
- We stellen logs en systeemstatus controleerbaar veilig voordat er iets wordt gewijzigd.
- We controleren op afwijkend gedrag zoals nieuwe PHP-bestanden, vreemde processen en ongebruikelijke uitgaande verbindingen.
- We documenteren het resultaat zo dat directie, functionarissen voor gegevensbescherming en verzekeraars er mee kunnen werken.
Het verloop in detail beschrijft onze PHP2Shell-spoedhulp.
Veelgestelde vragen
Wanneer zijn de PHP2Shell-patches gepubliceerd?
Het PHP-project publiceerde de verholpen versies op 21-10-2026 om 14:00 UTC, dus om 16:00 uur Duitse tijd. Verholpen zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Vanaf welke datum moet ik serverlogs bewaren?
De vakpers adviseert logs te bewaren vanaf 20-10-2026. Omdat volgens mediaberichten al op 17-10. een eerste aanvalspoging is waargenomen, loont het om ook bestaande oudere logs veilig te stellen voordat de logrotatie ze verwijdert.
Is CVE-2026-115560 net zo gevaarlijk als de twee eerste kwetsbaarheden?
Volgens de melding van 23-10-2026 is misbruik alleen mogelijk bij een ongebruikelijke sessieconfiguratie. Als tussenoplossing geldt session.upload_progress.enabled=0, totdat de volgende reguliere bugfixrelease verschijnt.
Zijn er bevestigde Indicators of Compromise voor PHP2Shell?
Nee, per 25-10-2026 zijn er geen bevestigde Indicators of Compromise gepubliceerd. Detectie berust op gedragsanalyse, bijvoorbeeld ongebruikelijke processen, nieuwe bestanden en opvallende verbindingen.