PHP2Shell houdt de IT-wereld bezig: twee kritieke lekken in PHP zelf, met meer dan 22 miljoen potentieel kwetsbare servers. Inmiddels is er misbruik waargenomen, onder meer een aanval op een Europese overheidsinstantie die in twee uur van webshell naar Active Directory kwam.
PHP2Shell: twee kritieke RCE-lekken in PHP worden actief misbruikt, ook aanvallers met AI-ondersteuning zijn actief
| Kwetsbaarheid | Twee geheugenfouten in de kern van PHP (samen PHP2Shell genoemd) waarmee een ongeauthenticeerde aanvaller op afstand code kan uitvoeren: een fout bij het afhandelen van te weinig geheugen (out-of-memory) en een use-after-free door achtergebleven globale status tussen requests. Alle PHP-installaties die webverzoeken afhandelen zijn geraakt (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed), mod_php loopt het meeste risico |
| CVE-nummer | CVE-2026-109618 en CVE-2026-109619 |
| CVSS-score | 9,2 (CVSS 4.0) voor beide kwetsbaarheden |
| Actief misbruikt | Ja. Amazon registreerde al op 17 oktober 2026 een poging, vier dagen voor de publieke bekendmaking. Unit 42 meldde op 23 oktober een aanval op een Europese overheidsinstantie |
| Patch beschikbaar | Ja, sinds 21 oktober: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 7.4, 8.0 en 8.1 (end of life) zijn alleen broncode-backports beschikbaar; oudere versies krijgen geen fix |
Hoe is dit misbruikt?
Details over de lekken lekten op 20 oktober online uit, voordat de patches klaar waren. Volgens Help Net Security registreerde Amazon Threat Intelligence met het MadPot-honeypotnetwerk al op 17 oktober een exploitpoging vanaf een IP-adres van een commerciële anonimiseringsdienst. Eén ongeauthenticeerd verzoek volstaat en de aanval werkt voordat applicatiecode draait. Rapid7 stelt volgens de beschikbare analyse dat de openbare proof-of-concepts per stuk alleen werken voor een bepaalde combinatie van besturingssysteem, PHP-versie en webserver. Daarmee is het risico niet kleiner geworden, want Unit 42 zag bij een Europese overheidsinstantie een aanvaller die vermoedelijk met AI-ondersteuning werkte. Binnen twee uur na de eerste inbraak had die wachtwoordhashes en MFA-geheimen buit gemaakt, een NTLM-relaytunnel naar Active Directory opgezet en geprobeerd Domain Admin te worden.
Wat kan het gevolg zijn?
Palo Alto Cortex Xpanse telt meer dan 22,6 miljoen potentieel kwetsbare instanties. In Nederland gingen er op 21 oktober als voorzorg sites offline, waaronder die van de Tweede Kamer en het NCSC, schrijft Dutch IT Channel. Het NCSC had toen nog geen misbruik gezien. Voor MSP’s raakt dit vrijwel elke webhostingomgeving, elk CMS en elke klantwebsite op een eigen server. Een overgenomen webserver is een springplank naar het interne netwerk, zoals de aanval op de overheidsinstantie laat zien. Ook appliances met PHP erin zijn geraakt: Palo Alto meldt dat alle PAN-OS- en Panorama-versies kwetsbaar zijn en dat er nog geen fixes zijn, terwijl Fortinet en Cisco hun producten nog onderzoeken.
Wat moeten IT-beheerders nu doen?
Update naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35, of installeer de gepatchte pakketten van je Linux-distributie of LTS-leverancier. Staan er systemen op PHP 8.1 of ouder, vraag dan om een backport van de leverancier of haal het systeem van internet. Kun je niet direct patchen, dan raadt het Britse NCSC aan het systeem offline te halen. Als tijdelijke maatregel noemt Datadog het afdwingen van memory_limit=-1 op beheerdersniveau, aangevuld met requestlimieten voor de frontend en geheugenlimieten voor de container. Cloudflare heeft WAF-regels voor bekende aanvalspatronen, ook voor gratis klanten. Zoek daarnaast naar webshells en afwijkend verkeer, zeker op servers die sinds 17 oktober publiek bereikbaar waren, en controleer de rpms.remirepo.net-gebruikers: die repository had bij publicatie nog geen update. Het open-source hulpmiddel php2shell-scanner van Searchlight Cyber laat zien of een host blootstaat.
