Laatste update 21 oktober 17:52
De kwetsbaarheden zijn gedicht
Bijna alle platforms en servers die via ons lopen draaien weer op de officiële patches van PHP en zijn weer up and running. De Magento- en Shopware-webshops op Hypernode, onze WordPress-hosting en onze interne systemen draaien nu allemaal op de gepatchte PHP-versies. De onderhoudsmodus is overal weer uitgeschakeld, dus je webshop of website is gewoon bereikbaar. Ook de websites die op verzoek preventief offline waren gehaald, staan weer online.
We zeggen bijna, want oudere webwinkels die nog PHP 8.1 gebruiken wachten helaas nog op een specifieke patch. Die klanten zijn apart geïnformeerd.
Het PHP-team bracht om 16:00 Nederlandse tijd de versies 8.2.35, 8.3.36, 8.4.27 en 8.5.12 uit, samen met een officieel beveiligingsadvies. Daarin bevestigt PHP dat het om twee ernstige lekken gaat (CVE-2026-109618 en CVE-2026-109619). Via deze lekken kon een aanvaller zonder in te loggen eigen code uitvoeren op een server, door een speciaal opgesteld verzoek naar een website te sturen. In principe was elke website of webshop op PHP kwetsbaar, ongeacht het platform of de plugins. Volgens PHP bestond er geen volledige tijdelijke oplossing en is updaten de enige echte oplossing.
We blijven de situatie de komende tijd nauwlettend volgen en letten extra op verdachte activiteit, zoals pogingen tot inbraak. Nu de technische details openbaar zijn, verwachten we dat kwaadwillenden ongepatchte servers gaan opzoeken. Zien we iets wat jouw webshop of website raakt, dan nemen we direct contact met je op. Kom je zelf iets geks tegen, laat het ons dan weten.
Heb je een eigen hostingpartij? Check dan bij hen of jouw server inmiddels op een van de nieuwe PHP-versies draait. Het onderhoud van die hosting ligt niet bij ons.
Voor nu is dit incident opgelost.
De tekst hieronder is geschreven om 12:30, vóór de release, en is nog niet overal bijgewerkt.
Op 20 oktober lekte het nieuws dat PHP twee kritieke kwetsbaarheden bevat, bekend onder de bijnaam php2shell, waarmee een aanvaller mogelijk op afstand code op je server kan uitvoeren. PHP draait onder WordPress, WooCommerce, Magento, Shopware en veel andere websites en webwinkels, dus dit raakt een groot deel van het web.
Vandaag om 16:00 brengt PHP de beveiligingsupdate uit. Dit artikel is geschreven op 21 oktober rond 12:30, dus vóór die release. We werken het bij zodra de officiële details bekend zijn, en we geven steeds aan wat nog niet bevestigd is. Het korte antwoord: wij volgen dit nauwgezet en je hoeft zelf niets te doen. Wel is je webshop of website vandaag kort offline terwijl we updaten. Heb je een eigen hostingpartij, lees dan onderaan bij “Eigen hostingpartij?” wat je kunt checken.
Achtergrond
Wat is er aan de hand?
PHP2Shell is de bijnaam die beveiligingsonderzoekers gebruiken voor twee kwetsbaarheden in PHP zelf, dus niet in een plugin of een specifiek CMS. Het PHP securityteam meldde op 20 oktober in een officiële aankondiging dat er een spoedrelease aankomt voor twee kritieke kwetsbaarheden, allebei met een CVSS v4.0-score van 9,2. CVSS is de standaardschaal voor de ernst van een lek, van 0 tot 10, dus 9,2 zit dicht tegen het maximum aan. In de berichtgeving van onder andere Huntress staan de lekken als CVE-2026-109618 en CVE-2026-109619. Een CVE-nummer is een soort kenteken voor een beveiligingslek: een uniek nummer waarmee beveiligingsbedrijven, hostingpartijen en softwareleveranciers allemaal over hetzelfde lek praten. CVE staat voor Common Vulnerabilities and Exposures, en het nummer bestaat uit het jaar plus een volgnummer. De bijnaam php2shell is dus de naam in de volksmond, de CVE-nummers zijn de officiële nummers.
Het nieuws kwam eerder naar buiten dan de bedoeling was, via een inmiddels verwijderde post op Hacker News. Beveiligingsbedrijf watchTowr bevestigde binnen enkele uren dat de kwetsbaarheden echt zijn en heeft CVE-2026-109618 in een lab nagebouwd. De release staat nu gepland voor vandaag, 21 oktober om 16:00 Nederlandse tijd.
Twee dingen zijn nog niet officieel bevestigd. De CVE-nummers staan niet in de aankondiging van PHP zelf, ze komen uit onderzoeksrapporten. En dat het om remote code execution gaat, is volgens runZero gebaseerd op berichtgeving en niet op een bevestiging van PHP. Remote code execution betekent dat iemand van buiten, zonder in te loggen, je server opdrachten kan laten uitvoeren alsof hij zelf achter het toetsenbord zit.
In het nieuws
Wat lees je in het nieuws?
Het nieuws werd vandaag breed opgepikt. ANP meldt via Villamedia dat het Europese cyberbeveiligingsorgaan CERT-EU waarschuwt voor twee kritieke kwetsbaarheden in PHP, en dat organisaties die niet direct kunnen updaten hun internetdiensten tijdelijk offline kunnen halen. Volgens AG Connect zette NotuBiz, het platform waarmee ruim honderd gemeenten, provincies en waterschappen raadsinformatie publiceren, zijn platform uit voorzorg offline. NotuBiz zegt geen aanwijzingen te hebben voor een inbraak.
Het cijfer dat circa 70 procent van de websites wereldwijd op PHP of daarop gebouwde toepassingen draait, staat in die berichten zonder bronvermelding. Lees het als een grove indicatie. Dat Cloudflare de eerste aanvallen zou zien, wordt genoemd maar niet onderbouwd met cijfers of details. Wij hebben dat zelf niet kunnen controleren.
Het offline halen is een voorzorgsmaatregel van organisaties die nog niet kunnen updaten. In de berichten die wij lazen staat niet dat er websites zijn gehackt.
Wat we weten
Wat weten we over de aanval?
Samenvattend: de technische oorzaak is nog niet gepubliceerd. PHP meldt dat details, getroffen versies en de versies met de oplossing pas bij de release verschijnen. Daardoor weten we op dit moment nog weinig zeker.
Risico
Wie loopt er risico?
PHP zelf heeft nog niet bevestigd welke versies getroffen zijn. Volgens Wordify, die naar de supportpagina van php.net verwijst, zijn PHP 8.2 tot en met 8.5 nu ondersteund en zijn PHP 8.1, 8.0 en 7.4 end of life.
PHP draait onder WordPress en WooCommerce, Magento, Shopware, Drupal, Joomla en Laravel. Het lek zit in PHP zelf en niet in een plugin of CMS. Shopify draait niet op PHP en valt hier buiten.
Over misbruik zijn de bronnen het niet eens. Patchstack meldde vanochtend om 09:34 Nederlandse tijd dat er meerdere gevallen van actief misbruik bevestigd zijn, en volgens de ANP-berichten ziet Cloudflare de eerste aanvallen. Huntress, watchTowr en Phoenix Security hebben tot hun publicatie juist geen misbruik gezien en kennen geen openbare proof of concept (een werkend voorbeeld van de aanval). We kunnen dit zelf niet verifiëren.
Onze aanpak
Wat doen wij nu?
We volgen dit nauwgezet. Hypernode, waar de Magento- en Shopware-webshops van onze klanten draaien, heeft al aanvullende beveiligingsmaatregelen genomen op al hun servers. Zij kregen een vroege waarschuwing van PHP en werken sinds dinsdagmiddag aan de voorbereiding. Hypernode meldt dat klanten daar zelf niets voor hoeven te doen.
Uit voorzorg, en in de hoop dat de officiële PHP-updates dan al beschikbaar zijn, zet Hypernode voor de Magento- en Shopware-webshops op alle servers tussen 14:30 en 15:30, mogelijk tot 16:00, de onderhoudsmodus aan. Je webshop is in die periode offline. Zo kunnen de updates direct worden doorgevoerd en getest.
Onze WordPress-hosting en onze interne systemen werken we tussen 15:00 en 16:00 bij, zodra de patches beschikbaar zijn. Rond dat moment is er enige downtime.
Draait jouw website of webshop op een verouderde PHP-versie, dan nemen we apart contact met je op. Je hoeft zelf niets te doen.
Zodra er belangrijke ontwikkelingen zijn, laten we dat je weten met een mailing.
Eigen hostingpartij?
Heb je een eigen hostingpartij, check dan of zij de update vandaag doorvoeren.
Contact
Vragen over het PHP-lek?
Heb je vragen over jouw website of webshop? Neem contact met ons op. We houden dit artikel bij zodra PHP de officiële details en de versies met de oplossing publiceert.
