Twee kwetsbaarheden in PHP, samen bekend als PHP2Shell, worden actief aangevallen sinds details uitlekten vóór de geplande openbaarmaking. Bij 10% van de organisaties wereldwijd zijn aanvalspogingen waargenomen. Europa scoort ruim twee keer zo hoog als andere regio’s, en Nederland komt uit op 15%. Overheidsinstellingen in Nederland en Finland haalden uit voorzorg websites offline.
Het gaat om CVE-2026-109618 en CVE-2026-109619. De cijfers komen van Check Point Research, dat aanvalspogingen telt sinds de details naar buiten kwamen. De onderzoekers benadrukken dat ‘getroffen’ hier staat voor pogingen tot misbruik. Of een aanval ook is geslaagd, valt uit de data niet op te maken. De activiteit piekt per uur rond middernacht, een moment waarop minder securityteams meekijken. Check Point Research beschrijft de technische details in een technische analyse van PHP2Shell.
Kwetsbaarheden in de PHP-engine
De twee lekken zitten in de PHP-engine zelf. Daarmee valt een groot deel van het webverkeer binnen bereik: websites en webshops op WordPress, Drupal, Joomla of Magento, shared hosting-platforms, de controlepanelen cPanel en Plesk en veel commerciële applicaties. Een aanvaller kan zonder in te loggen op afstand eigen code uitvoeren op een kwetsbare server. Dat kan leiden tot datadiefstal, aanvallen op gekoppelde systemen of uitval van diensten.
Doordat de details voortijdig uitlekten, kregen aanvallers een voorsprong en hadden beheerders minder tijd om zich voor te bereiden. Inmiddels circuleren ook screenshots van een aanvalstool die de kwetsbaarheden misbruikt.
Europa en telecom vaker doelwit
In Europa zijn bij 14% van de organisaties pogingen waargenomen, tegenover 6% in Noord-Amerika, Latijns-Amerika en APAC. Afrika komt uit op 4%. Van de achttien zwaarst getroffen landen liggen er zestien in Europa. Hongarije staat bovenaan met 38%, gevolgd door Denemarken (32%), Oostenrijk (28%) en Zweden en Roemenië (beide 22%). Duitsland komt uit op 16%, Nederland op 15%.
Per sector scoort telecommunicatie het hoogst met 20%, gevolgd door onderwijs met 18%. Media en entertainment en non-profitorganisaties zitten op 16%. De IT-sector komt uit op 12%, zakelijke dienstverlening op 11% en overheid op 9%. Biotech en farmacie scoren met 5% het laagst van de 23 onderzochte sectoren.
CMS-update sluit de lekken niet
Omdat de fout in PHP zit, verhelpt een update van WordPress, een ander CMS of plugins het probleem niet. PHP moet direct op de server worden bijgewerkt. Patches zijn beschikbaar in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Versie 8.1 en ouder blijven kwetsbaar zolang er geen backport van de fix is.
Charlotte Wilson, Head of Enterprise bij Check Point Software Technologies, ziet in het offline halen van overheidswebsites een signaal van hoe serieus de situatie wordt genomen. Volgens Wilson heeft het bijwerken van systemen nu prioriteit, maar roept het incident ook de vraag op of organisaties te afhankelijk zijn geworden van technologie die velen tegelijk kwetsbaar maakt.
Aanbevolen maatregelen
Check Point Research adviseert om eerst alle PHP-instanties in kaart te brengen, inclusief containers en producten van derden. Patch daarna te beginnen bij systemen die vanaf internet bereikbaar zijn. Draait een website bij een externe hostingpartij, vraag dan na of de patch is doorgevoerd. Herstart na de update de betreffende diensten en controleer of de gepatchte versie daadwerkelijk draait. Wat niet snel te patchen is, kun je afschermen of tijdelijk offline halen. Segmentatie tussen webservers en het bedrijfsnetwerk beperkt de verspreiding bij een inbraak, maar vervangt de update niet.
Een patch verwijdert geen kwaadaardige code die al op een server is achtergelaten. Signalen van compromittering zijn onder meer onverklaarde uitval van webdiensten, nieuwe of onbekende PHP-bestanden, afwijkende verzoeken aan webservers, webserverprocessen die systeemcommando’s uitvoeren en verbindingen met onbekende externe adressen.
Check Point meldt daarnaast dat het signatures voor zijn IPS en Web Application Firewall heeft uitgebracht en dat Exposure Management kan helpen om PHP-blootstelling in kaart te brengen.
Het volledige rapport is te lezen via technische analyse van PHP2Shell.
