Het securityteam van PHP brengt vanmiddag om 16.00 uur Nederlandse tijd een noodpatch uit voor twee kritieke kwetsbaarheden in PHP, die als PHP2Shell rondgaan. Omdat details over de lekken al naar buiten kwamen en Cloudflare de eerste aanvallen ziet, halen organisaties als DigiD, MijnOverheid, de Tweede Kamer en Tweakers hun sites uit voorzorg offline. Voor MSP’s die websites, webshops en servers van klanten beheren, staat de middag in het teken van inventariseren en klaarzetten, zodat de update direct na verschijnen op elke PHP-server kan landen.
Het PHP-team kondigde gisteren aan dat de securityrelease woensdag om 14.00 uur UTC verschijnt. Beide kwetsbaarheden krijgen een CVSS v4.0-score van 9,2. Welke versies kwetsbaar zijn en in welke versies de fix zit, maakt PHP pas bij de release bekend, meldt Help Net Security. Het team houdt de optie open om eerder te publiceren als de details openbaar worden of als er misbruik opduikt.
Wat is er al bekend over de lekken?
PHP heeft zelf nog geen technische details gegeven. Volgens Sansec lekte informatie over de kwetsbaarheden, die onder embargo stonden, gisteren uit. Securitybedrijf watchTowr bevestigde dat het om remote code execution gaat, geregistreerd als CVE-2026-109618 en CVE-2026-109619. Een aanvaller kan via zo’n lek van buitenaf eigen code uitvoeren op de server en van daaruit verder het systeem in. Samen met de waarschuwing lekte volgens Sansec ook een screenshot van een exploittool met de naam PHP2Shell uit. Het Utrechtse securitybedrijf gaat ervan uit dat alle webservers met PHP 5.4 of nieuwer geraakt zijn.
Waarom gaan zoveel sites offline?
Cloudflare ziet inmiddels de eerste aanvallen op PHP-sites en heeft vanochtend extra WAF-regels uitgerold. De firewall vangt pogingen af, al is dat volgens de NOS geen waterdichte bescherming. Het NCSC heeft zelf nog geen actief misbruik gezien en waarschuwt dat elk systeem met PHP dat vanaf het internet bereikbaar is “vermoedelijk kwetsbaar” is zolang PHP niet is bijgewerkt.
Omdat updaten nog niet kan, kiezen veel organisaties voor de zekerste route. Naast DigiD, MijnOverheid, de Tweede Kamer en Tweakers gingen ook de sites van het NCSC en de Autoriteit Persoonsgegevens uit de lucht. NotuBiz, het systeem waarmee zo’n honderd gemeenten vergaderen, ging vanochtend al offline, net als systemen van persbureau ANP en in het hoger onderwijs. Telecompaper meldt dat ook de site en app van RTL onbereikbaar zijn. In België haalde DPG Media uit voorzorg een aantal sites offline en is ook Smartschool niet bereikbaar, schrijft VRT NWS, terwijl het Belgische CCB nog geen aanvallen ziet. PHP-coreontwikkelaar Gina Peter Banyard noemt een dag offline gaan volgens Sansec de verstandigste keuze voor organisaties die zich dat kunnen veroorloven.
Helpt een aanpassing in php.ini tot de patch er is?
Op sociale media en securityblogs gaat een tijdelijke maatregel rond: de PHP-instelling session.upload_progress.enabled uitzetten. Die functie staat standaard aan en houdt bij hoe ver een bestandsupload is gevorderd. Onderzoekers vermoeden dat ten minste één van de lekken via deze functie en een speciaal opgebouwd multipart-POST-verzoek te misbruiken is. PHP heeft dat verband niet bevestigd. Volgens The Hacker News houdt de instelling volgens Flatt Security hooguit één van de twee bugs tegen, en Banyard reageerde op die suggestie met de opmerking dat patchen de enige echte mitigatie is.
Sansec adviseert de instelling wel als extra laag te gebruiken, samen met session.use_strict_mode. Let daarbij op dat PHP-FPM zijn eigen poolconfiguratie leest. Zet de instellingen daarom met php_admin_flag in elke pool die PHP serveert, bijvoorbeeld in www.conf, en controleer met php-fpm -i of ze actief zijn. Heeft een site geen uploads nodig, dan kun je multipart-POST-verzoeken ook aan de rand blokkeren, in de webserver of de WAF.
Wat betekent dit voor MSP’s?
Het lek zit in PHP zelf. De update moet daarom op de servers worden doorgevoerd, los van updates van WordPress, Magento of andere software die erop draait. Voor een MSP begint dat met een inventarisatie: welke klantomgevingen draaien PHP, op welke versie, en wie is verantwoordelijk voor de update. Denk aan klantwebsites, webshops, intranetten, klantportalen en interne applicaties op PHP. Bij shared hosting ligt de update bij de hoster, dus dan is contact met die partij nodig om te weten wanneer de patch daar landt.
Kijk ook waar de PHP-pakketten vandaan komen. Volgens Sansec waarschuwt de PHP Foundation dat de repository van Remi, die veel wordt gebruikt op Red Hat-achtige systemen, vandaag geen updates krijgt. Distributies als Debian en Ubuntu brengen eigen pakketten uit, die vaak later verschijnen dan de officiële release. Draait PHP in containers, dan moeten de images opnieuw worden gebouwd. Versies die buiten ondersteuning vallen, krijgen in de regel geen officiële fix; daar blijven upgraden, een backport van een leverancier of offline halen over.
Wat moet je na 16.00 uur doen?
Sansec verwacht massale aanvallen binnen een kwartier na de release. Zorg daarom dat de update direct kan worden uitgerold, met het akkoord van klanten vooraf geregeld waar een change dat vraagt. Omdat Cloudflare al aanvallen zag voordat de patch er was, is het verstandig om na het patchen te controleren op sporen van misbruik, zoals onbekende PHP-bestanden in webmappen en afwijkende uitgaande verbindingen. Het NCSC roept organisaties op PHP zo snel mogelijk bij te werken zodra de patch beschikbaar is.
