PHP2Shell: controleer zelf of uw server kwetsbaar is

De kritieke PHP-kwetsbaarheden CVE-2026-109618 en CVE-2026-109619

Op 21 oktober 2026 zijn er noodpatches uitgebracht voor twee kritieke kwetsbaarheden in PHP-core, samen bekend als PHP2Shell (CVE-2026-109618 en CVE-2026-109619). Ze maken remote code execution zonder authenticatie mogelijk en hebben een CVSS v4.0-score van 9.2. Draait uw website of applicatie op PHP, dan is dit urgent.

PHP2Shell zit in PHP-core zelf. Of u kwetsbaar bent, hangt af van uw PHP-versie en of die de noodpatch heeft. Dit kunt u op uw eigen systeem veilig zelf nagaan. Hieronder leggen we uit hoe.

Waarom wij geen externe scan aanbieden

Betrouwbaar vaststellen of een server kwetsbaar is voor deze RCE vereist het testen van gedrag dat in de praktijk neerkomt op het uitbuiten ervan. Dat mag alleen met toestemming van de eigenaar van het systeem. Daarom bieden wij geen knop die willekeurige websites scant, maar leggen wij u uit hoe u het op uw eigen omgeving controleert. Zo blijft de controle veilig en rechtmatig.

Stap 1: welke PHP-versie draait u?

Bepaal eerst welke PHP-versie actief is. Dat kan op verschillende manieren, afhankelijk van uw situatie:

  • Op de server (command line): voer php -v uit. Let op: de CLI-versie kan afwijken van de versie die uw webserver gebruikt.
  • Via een hostingpaneel (Plesk, cPanel, DirectAdmin): kijk onder de PHP-instellingen van uw domein of website.
  • Binnen een applicatie: plaats tijdelijk een afgeschermd bestand met <?php phpinfo(); ?>, bekijk de versie, en verwijder dat bestand direct daarna. Laat het nooit openbaar staan.
  • Twijfelt u welke versie uw webserver gebruikt? Vraag het na bij uw hostingpartij of beheerder.

Stap 2: is uw versie gepatcht?

De noodpatch is uitgebracht voor de vier ondersteunde PHP-branches: 8.2, 8.3, 8.4 en 8.5. Controleer of uw versie gelijk is aan of hoger dan de gepatchte uitgave van uw branch.

  • Draait u op een van deze branches: werk bij naar de nieuwste patch-uitgave. Het exacte patchnummer staat in de officiële aankondiging op php.net.
  • Draait u op PHP 8.1 of ouder (tot en met 5.x)? Die branches zijn end-of-life en krijgen geen patch. Upgraden naar een ondersteunde, gepatchte branch is dan de enige oplossing.

Let op: versie verbergen is geen bescherming

Veel servers verbergen hun PHP-versie in de HTTP-headers. Dat maakt u niet veiliger: de kwetsbaarheid zit in PHP-core, ongeacht of de versie zichtbaar is. Beoordeel daarom de werkelijke versie op de server, niet wat van buitenaf zichtbaar is.

Stap 3: kunt u niet direct patchen?

Lukt bijwerken niet meteen, beperk dan de blootstelling zo veel mogelijk:

  • zet kwetsbare of verouderde systemen achter extra toegangscontrole;
  • volg de mitigatie-adviezen van uw distributie, hostingpartij of frameworkleverancier;
  • plan de upgrade met hoge prioriteit en houd de officiële bronnen in de gaten.

Officiële bronnen

  • php.net, voor de officiële security-aankondiging en de exacte gepatchte versies;
  • NCSC, voor advisories en handelingsperspectief in Nederland.

Hulp nodig bij patch- en kwetsbaarhedenbeheer?

Wij helpen organisaties hun IT-omgeving aantoonbaar up-to-date te houden, zodat kwetsbaarheden als PHP2Shell tijdig worden opgemerkt en verholpen. Dat is ook een kernonderdeel van ISO 27001, NIS2 en BIO2.

Neem contact op Bekijk de Audit-klaar Analyse

← Terug naar de homepage