Kort gezegd: Een webshell is een klein bestand waarmee een vreemde uw server op afstand kan besturen. Wie er een heeft gevonden, is zeer waarschijnlijk getroffen en moet direct contact opnemen. Niet verwijderen, niet openen, eerst veiligstellen. Wij stellen op afstand vast hoe ze op de server kwam, of er meer toegangen zijn, en ruimen de server op.
Verwijder nu niets en zet niets opnieuw op. Ook de webshell zelf blijft voorlopig staan, zodat ze kan worden veiliggesteld. Bent u getroffen? Bel ons of stuur een bericht via WhatsApp, of meld de vondst via Meld uw noodgeval.
U hebt een webshell gevonden: wat betekent dat?
Een webshell is een PHP-script (of een script in een andere servertaal) dat opdrachten van buiten aanneemt. Daarmee kunnen aanvallers bestanden lezen, gegevens downloaden, schadelijke code naladen en andere systemen bereiken. Het bestand is daarom zelden het doel van de aanval. Het is de achterdeur die een indringer achterlaat om terug te kunnen komen.
Dat heeft twee gevolgen. Ten eerste: iemand had al schrijftoegang tot uw server of kon code uitvoeren. Ten tweede: het gevonden bestand is waarschijnlijk niet het enige. Daar komt bij wat men vaak niet weet: sinds wanneer staat het daar en wat is er in de tussentijd mee gedaan?
Waaraan u een webshell herkent
- een PHP-bestand in een map waar er geen hoort te staan, zoals uploads, cache, afbeeldingen of tijdelijke mappen
- bestandsnamen die op systeembestanden lijken maar niet bij uw software horen, of namen met een dubbele extensie
- onleesbare code met lange tekenreeksen, codering en functies om opdrachten uit te voeren, zie Versluierde PHP-code herkennen
- een wijzigingsdatum die niet bij uw updates past
- toegangen tot dit bestand in de logboeken, vaak van vreemde adressen en met POST-verzoeken
- webserverprocessen die een shell starten, zoals beschreven onder Waarschuwingssignaal: de webserver start een shell
Hoe u vondsten goed duidt, staat onder PHP-bestanden in de uploadmap en uitvoerig onder Webshells herkennen en verwijderen.
Wat u nu direct doet
- Open het bestand niet en voer het niet uit. Geen tests in de browser.
- Niet verwijderen en niet verplaatsen. Wijzig noch de inhoud noch de tijdstempels.
- Noteren: volledig pad, bestandsnaam, tijdstip van de vondst, wie het heeft ontdekt en waarmee.
- Bestand en metagegevens veiligstellen: een kopie met eigenaar, rechten en tijdstempels. Opdrachten die alleen lezen volstaan, bijvoorbeeld:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Bewaar de logboeken: laat toegangs- en foutlogboeken van webserver en PHP niet overschrijven. De vakpers adviseert serverlogboeken vanaf 20-10-2026 te bewaren.
- Scherm de server zo nodig af: vermoedt u dat er gegevens weglekken, haal de site dan van het netwerk. Hoe u daarbij bewijs behoudt, beschrijft Bewijzen veiligstellen voordat u opnieuw opzet.
- Informeer ons, voordat wachtwoorden worden gewijzigd of bestanden worden opgeschoond.
Hoe helpt PHP SOS concreet?
- Situatie opnemen: Wat is gevonden, waar, wanneer en door wie? Welke systemen staan op dezelfde server?
- Veiligstellen en dichten: Wij zetten de vondst, bestanden, database en logboeken veilig en blokkeren toegangen die verdacht lijken.
- Controleren en opschonen: Wij zoeken naar meer webshells, gewijzigde kernbestanden, verborgen cronjobs, vreemde beheerdersaccounts en onbekende SSH-sleutels en verwijderen ze. De aanpak komt overeen met de dienst Malware en webshells verwijderen.
- Beveiligen en rapporteren: Wij benoemen de waarschijnlijke ingang, dichten die en beveiligen de server. U krijgt documentatie met bevindingen en tijdlijn.
Hoe kwam de webshell op de server?
Typische wegen zijn verouderde plugins of extensies, onveilige bestandsuploads, gestolen toegangsgegevens en lekken in de software van de server. Sinds de publicatie van PHP2Shell komt er een mogelijkheid bij: PHP zonder de fixes uit 8.5.12, 8.4.27, 8.3.36 of 8.2.35 kan op afstand worden misbruikt om code uit te voeren. Bevestigde Indicators of Compromise bestaan daarvoor niet, de detectie berust op gedrag. Of de ingang bij u via PHP2Shell of via een andere weg liep, is alleen uit de sporen af te leiden, en wij geven aan wat aangetoond is en wat een vermoeden. Hoe logboeken daarbij helpen, laat Webserverlogboeken analyseren zien.
Een patch verwijdert overigens geen bestaande webshell. Ook bescherming tegen toekomstige vondsten hoort erbij: PHP-uitvoering in uploadmappen verbieden voorkomt veel gevallen. Houd bovendien rekening met de grenzen van malwarescanners: een scan zonder vondst is geen sein van veiligheid.
Moet u precies weten wat er is gebeurd, bijvoorbeeld voor verzekeraar of autoriteiten, dan kan IT-forensisch onderzoek zinvol zijn.
En als de webshell na het verwijderen terugkomt?
Dat gebeurt vaak en heeft meestal twee oorzaken. Of er is minstens één andere achterdeur die de vondst opnieuw aanmaakt, of de toegangspoort staat nog open en de aanvaller komt gewoon terug. Beide los je niet op door herhaaldelijk te verwijderen. Wij zoeken daarom naar het geheel van de wijzigingen: nieuwe en gewijzigde bestanden, vermeldingen in database en configuratie, geplande taken, accounts. Een lijst van onlangs gewijzigde bestanden is daarbij een zinvol begin, maar vervangt de controle door vakmensen niet.
Wat u ons het best kunt sturen
- pad en naam van het bestand, bij voorkeur als kopie met tijdstempels (de overdrachtsweg stemmen we af)
- fragmenten uit de toegangslogboeken rond dit bestand, als u toegang hebt
- servertype, hostingprovider, PHP-versie en uitvoeringsmodus, indien bekend
- welke websites en toepassingen op de server draaien
- wanneer voor het laatst updates, uploads of wijzigingen plaatsvonden
Waarom PHP SOS
Wij werken Made in Germany en zijn met ons partnernetwerk van cyberprofessionals al meer dan 25 jaar gespecialiseerd in IT-beveiliging. Eén aanspreekpunt leidt u door het incident. Wij werken op afstand, zonder reistijd, in heel Duitsland en Europa, documenteren elke stap en doen geen beloften die niemand kan waarmaken. Wij blijven erbij tot het incident is afgerond en gedocumenteerd.
Bent u getroffen? Bel ons. Wij helpen.
Een gevonden webshell is een waarschuwingssignaal dat u serieus moet nemen. Neem nu contact op, per telefoon of WhatsApp, dan nemen wij het over vanaf het eerste bericht. Meld nu uw noodgeval
Veelgestelde vragen
Ik heb een webshell gevonden. Mag ik het bestand gewoon verwijderen?
Liever niet als eerste stap. Het bestand laat zien wanneer en waarmee de aanvaller binnenkwam. Zet het eerst veilig, inclusief tijdstempels en eigenaar, en laat het daarna gericht verwijderen. Wie alleen verwijdert, laat meestal andere toegangen achter.
Moet ik het verdachte bestand in de browser openen om te zien wat het doet?
Nee. Openen kan de schadelijke code uitvoeren en verdere sporen uitwissen. Controleer het bestand alleen leesbaar en bij voorkeur op een kopie.
Is een malwarescanner genoeg om alle webshells te vinden?
Niet betrouwbaar. Scanners herkennen bekende patronen, maar versluierde of nieuw gebouwde webshells ontsnappen eraan. Een schone scan bewijst niet dat er niets meer is.
Hoe weet ik hoe lang de webshell al op de server staat?
Aanwijzingen geven de wijzigingsdatum, toegangs- en foutlogboeken en vergelijkingen met andere nieuwe bestanden. Tijdstempels zijn echter te vervalsen. Daarom beoordelen wij meerdere bronnen en geven we aan wat aangetoond is en wat een vermoeden.
Moet ik de vondst melden?
Zodra persoonsgegevens getroffen kunnen zijn, kan een melding aan de toezichthouder nodig zijn. Daarover adviseren functionarissen voor gegevensbescherming of advocaten; wij leveren de technische feiten.