Er heerst paniek in de wereld van websites en alles wat op PHP draait – ja, zelfs de apps op je mobiele telefoon! Er is een ernstige kwetsbaarheid ontdekt in PHP. Je zou kunnen denken dat direct ingrijpen noodzakelijk is om erger te voorkomen. Maar is die paniek eigenlijk wel terecht?
In Nederland hebben ongeveer 1,7 miljoen hostingklanten een website of onlinedienst bij een hostingprovider. Deze klanten beschikken niet over eigen servers waarop ze hun websites zelf beheren – en ik ben er één van.
Wat is het probleem?
Twee kritieke 'Remote Code Execution' (RCE)-kwetsbaarheden in PHP, aangeduid als CVE-2026-109618 en CVE-2026-109619 (gezamenlijk 'PHP2Shell' genoemd), lekten online uit, één dag vóór de geplande gecoördineerde bekendmaking. Het lek, dat op 20 oktober 2026 plaatsvond, bracht aan het licht dat aanvallers zonder authenticatie willekeurige code kunnen uitvoeren op getroffen servers. Hierdoor zag de PHP Foundation zich genoodzaakt de release van noodpatches te versnellen naar 21 oktober 2026.
De kwetsbaarheden hebben een officiële CVSS v4.0-score van 9,2 en treffen vrijwel alle PHP-versies. Er zijn patches uitgebracht voor de ondersteunde versies 8.2, 8.3, 8.4 en 8.5; voor verouderde versies, zoals PHP 5 en 7, komen geen officiële fixes beschikbaar. Beveiligingsbedrijven bevestigden dat er kort na het lek al pogingen tot misbruik werden waargenomen. Belangrijke cybersecurity-instanties dringen er daarom bij organisaties op aan om publiek toegankelijke applicaties te isoleren of direct updates door te voeren, om zo het risico op een volledige overname van de server te beperken.
Voor wie is dit probleem eigenlijk bedoeld?
Als jouw website op een server van een hostingbedrijf staat, dan is het een zaak van dat bedrijf, niet van jou. Dat bedrijf zorgt ervoor dat klanten over de meest recente PHP-versies kunnen beschikken die je kunt instellen via het administratiepaneel van jouw websiteapplicatie.
Als je een server thuis hebt staan waarop een of meerdere websites draaien of een virtual private server (VPS), maar onder eigen beheer bij een hostingprovider, dan moet jij wel snel handelen door een PHP-patch te installeren.
Maar jij kunt als eigenaar van een website ook in actie komen. Denk maar aan de plugins die je hebt geïnstalleerd. Zijn die nog up-to-date? Het is ook niet onverstandig om even te kijken of jouw website wel de meest recente versie is.