Kwetsbaarheid · Wereldwijd · oktober 2026

PHP2Shell: kritieke uitvoering van code op afstand in PHP (CVE-2026-109618, CVE-2026-109619)

Twee kritieke kwetsbaarheden voor uitvoering van code op afstand zonder authenticatie in PHP leidden tot noodreleases en gezamenlijke waarschuwingen van ENISA, CERT-EU, de FBI en de NSA.

Incident

Wat er is gebeurd

Op 21 oktober 2026 bracht het PHP-project beveiligingsupdates voor noodgevallen uit (PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35) die twee kritieke kwetsbaarheden met een CVSS-score van 9,2 verhelpen, gezamenlijk aangeduid als PHP2Shell.

CVE-2026-109618 maakt uitvoering van code op afstand mogelijk via geheugenbeschadiging tijdens de afhandeling van onvoldoende geheugen; CVE-2026-109619 is een use-after-free door verouderde status. Beide kunnen worden geactiveerd door niet-geauthenticeerde verzoeken voordat applicatiecode wordt uitgevoerd, met het hoogste risico bij Apache met mod_php.

ENISA, de Europese Commissie, CERT-EU, Europol EC3 en het EU-netwerk van CSIRTs publiceerden een gezamenlijke verklaring waarin zij aandrongen op onmiddellijke patching, terwijl de FBI en de NSA parallelle waarschuwingen uitbrachten. Beveiligingsonderzoekers observeerden binnen enkele uren na de openbaarmaking verkenning en scanning van PHP-applicaties.

Analyse

Geleerde lessen

Vanaf het internet bereikbare PHP-systemen moeten onmiddellijk worden gepatcht; waar patchen niet mogelijk is, moeten blootgestelde applicaties van openbare netwerken worden geïsoleerd totdat fixes zijn toegepast en geverifieerd.

PHP 8.1 en ouder ontvangen geen updates meer van het PHP-project, dus niet-ondersteunde versies moeten worden bijgewerkt of worden gedekt door backports van leveranciers.

Veel commerciële en open-sourceproducten gebruiken PHP op de achtergrond; een nauwkeurige software-inventaris is nodig om getroffen systemen te vinden die niet direct PHP lijken te gebruiken.

Preventie

Hoe penetratietests helpen

Penetratietests van webapplicaties en netwerken identificeren blootgestelde PHP-diensten, verouderde runtimeversies en kwetsbare componenten, en verifiëren of patch- en isolatiemaatregelen daadwerkelijk effectief zijn.

Gerelateerde dienst bekijken Vraag een beoordeling aan

Bronnen

Samenvatting op basis van openbaar beschikbare informatie. DIGITPOL was niet betrokken bij dit incident.