Wat is er aan de hand?
PHP is de programmeertaal achter een groot deel van alle websites. WordPress, Joomla, Drupal en webshops als WooCommerce, Magento en PrestaShop draaien er allemaal op.
In PHP zijn twee lekken gevonden: CVE-2026-109618 en CVE-2026-109619. Beide krijgen een score van 9,2 op 10. Dat is kritiek. Het eerste lek zit in hoe PHP omgaat met een vol geheugen, het tweede in gegevens die na een verzoek blijven hangen en bij een volgend verzoek opnieuw worden gebruikt.
Het gevolg is in beide gevallen hetzelfde: een aanvaller kan met een speciaal verzoek eigen code op je server laten draaien. Daarmee kan hij je website overnemen, klantgegevens inzien of je server misbruiken voor andere aanvallen. Er is geen wachtwoord of account voor nodig.
De details lekten uit voordat de updates klaar waren. Daarom bracht PHP de waarschuwing een dag eerder naar buiten dan gepland. Beveiligingsbedrijven melden dat aanvallers de lekken al proberen te misbruiken. Palo Alto Networks (Unit 42) telde ruim 22,6 miljoen servers op internet die mogelijk kwetsbaar zijn.
Wie loopt risico?
Volgens PHP zelf is elke installatie die webverzoeken afhandelt kwetsbaar, ongeacht hoe PHP op de server draait. Het risico is het grootst bij servers die PHP via Apache (mod_php) draaien: daar werkt een aanval al voordat de code van je website wordt uitgevoerd.
Kwetsbaar zijn alle PHP-versies vóór deze updates:
- PHP 8.5 lager dan 8.5.12
- PHP 8.4 lager dan 8.4.27
- PHP 8.3 lager dan 8.3.36
- PHP 8.2 lager dan 8.2.35
- PHP 8.1 en ouder: deze versies krijgen van PHP zelf geen update meer
Wat moet je nu doen?
- Kijk welke PHP-versie je website gebruikt. Dat staat meestal in het beheerpaneel van je hostingpartij, of in WordPress onder Extra → Sitestatus.
- Update naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 (of nieuwer). Bij de meeste hostingpartijen doe je dat met een paar klikken. Twijfel je? Vraag het je hostingpartij of webbouwer.
- Gebruik je nog PHP 8.1 of ouder? Stap dan over naar PHP 8.3 of nieuwer. Test je website na de overstap, want oude plug-ins of thema’s werken soms niet meer.
- Let op: PHP 8.2 krijgt na 31 december 2026 helemaal geen beveiligingsupdates meer. Plan ook die overstap.
PHP noemt een paar tijdelijke maatregelen voor wie niet direct kan updaten, maar zegt er duidelijk bij dat die je server niet veilig maken. Updaten is de enige echte oplossing.
Op 23 oktober meldde PHP nog een derde, kleiner lek (CVE-2026-115560). Dat speelt alleen bij een ongebruikelijke instelling van sessies. Voor de zekerheid adviseert PHP om de functie "session upload progress" uit te zetten tot de volgende gewone update. Je hostingpartij of webbouwer kan dat in de PHP-instellingen doen:
session.upload_progress.enabled=0Zo ben je een volgend lek voor
Een lek als PHP2Shell is pas gevaarlijk als je website nog op een kwetsbare versie draait terwijl aanvallers ernaar zoeken. Wie weet welke software zijn website gebruikt en of die nog onderhouden wordt, kan snel handelen.
Daar helpt CyberPeil bij. Bij elke scan kijken we van buitenaf naar wat je website over zichzelf vertelt:
- Laat je server zien welke PHP-versie hij draait? Dan controleren we of die versie de update tegen PHP2Shell heeft en of hij nog beveiligingsupdates krijgt. Is dat niet zo, dan krijg je een melding met uitleg wat je moet doen.
- Toont je site zijn PHP-, server- of CMS-versie openbaar? Dan melden we dat ook. Aanvallers gebruiken precies die informatie om na een nieuw lek snel kwetsbare websites te vinden.
- Verouderde software zoals WordPress of jQuery zie je ook terug in je rapport, in gewone taal en op volgorde van belang.
Met geplande scans (dagelijks, wekelijks of maandelijks, afhankelijk van je pakket) zie je het snel als er iets verandert. Zo heb je verouderde software al bijgewerkt voordat een lek als dit in het nieuws komt.
Eerlijk is eerlijk: verbergt je server zijn PHP-versie, dan kunnen wij die van buitenaf niet zien. Dat is goed, want aanvallers zien hem dan ook niet. Controleer de versie in dat geval zelf, of vraag het je hostingpartij. En onze scans testen dit lek niet door het uit te proberen: we doen nooit iets wat je website kan beschadigen.