PHP2Shell: twee kritieke PHP-lekken brengen WordPress en Apache-servers in gevaar

Twee kritieke beveiligingslekken in PHP hebben op 21 oktober 2026 geleid tot een internationale beveiligingswaarschuwing. De kwetsbaarheden, bekend onder de naam PHP2Shell, kunnen aanvallers onder bepaalde omstandigheden toegang geven tot websites en servers zonder dat zij daarvoor hoeven in te loggen.

De gevolgen kunnen ernstig zijn: gestolen gegevens, aangepaste websites, geïnstalleerde malware of volledige verstoring van een online dienst.

Vooral de combinatie van PHP met de Apache-webserver verdient onmiddellijke aandacht. Maar ook websites die gebruikmaken van PHP-FPM, waaronder veel WordPress-installaties, moeten worden gecontroleerd.

Het Nederlandse Nationaal Cyber Security Centrum (NCSC) heeft inmiddels bevestigd dat beveiligingsupdates beschikbaar zijn.

Wat is PHP2Shell?

PHP2Shell is de naam voor beveiligingsonderzoek naar twee ernstige fouten in de interne werking van PHP.

PHP is de programmeertaal achter onder andere WordPress, WooCommerce, Drupal en Joomla. De software verwerkt bijvoorbeeld contactformulieren, inlogverzoeken, webshopbestellingen en communicatie met databases.

Normaal gesproken voert PHP uitsluitend code uit die bij de website hoort.

De twee ontdekte kwetsbaarheden maken het in bepaalde configuraties mogelijk om dit proces te manipuleren. Een aanvaller kan daardoor mogelijk eigen opdrachten laten uitvoeren binnen het serverproces.

Dat heet Remote Code Execution (RCE).

Bijzonder aan deze ontdekking is dat het probleem niet ontstaat door een slecht beveiligde WordPress-plugin of een zwak beheerderswachtwoord.

De kwetsbaarheid bevindt zich in PHP zelf.

Daardoor kunnen zelfs websites met bijgewerkte plugins en sterke wachtwoorden risico lopen wanneer de onderliggende PHP-installatie niet is gepatcht.

Welke twee PHP-kwetsbaarheden zijn ontdekt?

De PHP-ontwikkelaars hebben twee beveiligingsproblemen bevestigd. Beide hebben een kritieke CVSS 4.0-score van 9,2 op 10.

CVE-2026-109618: fout bij geheugenbeheer

PHP gebruikt geheugen om inkomende verzoeken te verwerken.

Wanneer het beschikbare geheugen op een bepaald moment uitgeput raakt, kan PHP de verwerking voortijdig beëindigen.

Onder specifieke omstandigheden gebeurt dat terwijl bepaalde interne gegevens nog niet volledig zijn geïnitialiseerd. Bij het opruimen van dat verzoek kan PHP vervolgens ongeldige geheugeninformatie verwerken.

Onderzoekers hebben aangetoond dat dit bij Apache met mod_php kan worden misbruikt om code op afstand uit te voeren.

CVE-2026-109619: eerder vrijgegeven geheugen opnieuw gebruiken

De tweede kwetsbaarheid ontstaat doordat interne gegevens van een eerder verzoek soms blijven bestaan nadat het bijbehorende geheugen is vrijgegeven.

Een volgend verzoek kan die verouderde informatie gebruiken.

Met zorgvuldig voorbereide invoer kan een aanvaller deze fout mogelijk misbruiken om ongeautoriseerde code uit te voeren.

Beide kwetsbaarheden vereisen daarom een beveiligingsupdate van PHP zelf.

Waarom wordt vooral Apache genoemd?

Apache HTTP Server en PHP zijn twee verschillende onderdelen van een website.

Apache ontvangt de HTTP-verzoeken van bezoekers. PHP voert de servercode van de website uit.

Bij een configuratie met mod_php draait PHP rechtstreeks als module binnen Apache.

Juist voor die combinatie hebben onderzoekers een werkende aanval aangetoond waarbij het probleem kan worden geactiveerd voordat de eigen code van de website wordt uitgevoerd.

Dat is belangrijk.

Een WordPress-installatie hoeft zelf geen programmeerfout te bevatten om toch getroffen te kunnen worden.

Het betekent echter niet dat iedere Apache-server automatisch kwetsbaar is. De PHP-versie en de manier waarop PHP wordt uitgevoerd bepalen het risico.

Ook PHP-FPM en andere uitvoeringsomgevingen vallen onder de beveiligingswaarschuwing.

Alleen Apache bijwerken is dus niet voldoende. De kwetsbare PHP-component moet worden gepatcht.

Welke PHP-versies zijn kwetsbaar?

Op 21 oktober 2026 zijn de volgende beveiligingsreleases verschenen:

Oudere PHP-versies zijn eveneens relevant voor de waarschuwing. PHP 8.1 en ouder ontvangen geen reguliere updates meer vanuit het PHP-project.

Sommige Linux-distributies en leveranciers met langdurige ondersteuning leveren beveiligingspatches terug naar oudere pakketversies. Daardoor hoeft een lager versienummer niet automatisch te betekenen dat een systeem nog kwetsbaar is.

Controleer daarom ook de beveiligingsmeldingen van uw hostingprovider of Linux-leverancier.

Wat betekent PHP2Shell voor WordPress en WooCommerce?

Een WordPress-website bestaat uit meerdere technische lagen.

De bezoeker ziet het ontwerp, de pagina’s en de functies. Daaronder draaien WordPress, PHP, een webserver en meestal een database.

Wanneer een probleem in een van de onderste lagen zit, kunnen maatregelen in de bovenliggende lagen onvoldoende zijn.

Dat geldt ook voor PHP2Shell.

Een mogelijke succesvolle aanval kan gevolgen hebben voor:

• De beschikbaarheid van uw website of webshop.
• Klantgegevens, bestellingen en database-inhoud.
• Websitebestanden en ongeautoriseerde aanpassingen.
• Inloggegevens en andere geheimen waartoe het getroffen serverproces toegang heeft.
• Andere applicaties wanneer de server onvoldoende is geïsoleerd.

Dat een website een kwetsbare PHP-versie gebruikt, betekent overigens niet automatisch dat deze al is gehackt.

Er is onderzoek nodig om vast te stellen of daadwerkelijk misbruik heeft plaatsgevonden.

Wat moet u nu doen? Vijf stappen

1. Controleer de PHP-versie van uw website

Log in bij uw hostingprovider en zoek naar de PHP-instellingen.

Bij WordPress kunt u via Gereedschap → Sitediagnose → Info → Server vaak zien welke PHP-versie de website gebruikt.

Heeft u een eigen VPS? Controleer dan ook welke PHP-versie daadwerkelijk de webverzoeken afhandelt.

Let op: de opdracht php -v toont doorgaans de commandlineversie. Die kan afwijken van de PHP-versie die uw website gebruikt.

2. Maak een volledige back-up

Maak vóór wijzigingen een back-up van alle websitebestanden, databases en relevante configuraties. Controleer of deze back-up daadwerkelijk kan worden teruggezet.

Bij een vermoedelijke hack moeten daarnaast de oorspronkelijke logs en andere onderzoeksgegevens worden veiliggesteld.

Een back-up van een al besmet systeem is geen bewijs dat de inhoud veilig is.

3. Installeer de beveiligingsupdate

Werk PHP bij naar een release waarin de kwetsbaarheden zijn opgelost. Bij managed hosting kan uw provider dit verzorgen.

Op een eigen VPS moet worden gecontroleerd welke beveiligingspakketten beschikbaar zijn en hoe de PHP-processen veilig opnieuw gestart kunnen worden.

Voer updates bij voorkeur gecontroleerd uit en controleer daarna de werking van de website, inclusief formulieren, logins en webshopfunctionaliteit.

4. Onderzoek mogelijke compromittering

Controleer relevante serverlogs, gewijzigde bestanden, onverwachte beheerdersaccounts en onbekende processen.

Gebruik waar mogelijk betrouwbare beveiligingssoftware en controleer opvallende resultaten handmatig.

Wordt een inbraak vermoed? Isoleer het betrokken systeem zo nodig, bewaar bewijsmateriaal en onderzoek welke toegang de aanvaller mogelijk heeft verkregen.

Alleen een beveiligingsupdate installeren verwijdert geen malware die al aanwezig is.

5. Richt structurele beveiligingscontrole in

Maak beveiligingsupdates een vast onderdeel van websitebeheer. Zorg daarnaast voor gescheiden toegangsrechten, betrouwbare back-ups, monitoring, logging en een duidelijk herstelproces.

Een web application firewall kan bepaalde aanvallen blokkeren, maar biedt geen volledige oplossing voor deze PHP-kwetsbaarheden.

De officiële beveiligingspatch blijft noodzakelijk.

Wat heeft kunstmatige intelligentie met deze ontdekking te maken?

Een opvallend onderdeel van PHP2Shell is de rol van AI bij het beveiligingsonderzoek.

Volgens OpenAI heeft beveiligingsbedrijf Calif met behulp van GPT-5.6 Sol een kritieke fout in PHP geïdentificeerd. Wiz ontdekte daarnaast onafhankelijk kwetsbaarheden en werkte met andere onderzoekers en PHP-ontwikkelaars aan de analyse en beveiligingsupdates.

Dat illustreert een ontwikkeling in cybersecurity.

AI kan onderzoekers helpen om grote hoeveelheden broncode te analyseren, ingewikkelde interacties tussen softwarecomponenten te onderzoeken en mogelijke fouten sneller te ontdekken.

Maar dezelfde ontwikkeling kan ook aanvallers helpen om bestaande kwetsbaarheden te onderzoeken.

Daarom wordt het tijdsverschil tussen het publiceren van een beveiligingslek en het installeren van een patch steeds belangrijker.

Kan AI uw website automatisch beveiligen?

• Serverlogs analyseren en afwijkingen signaleren.
• Softwareversies met beveiligingsmeldingen vergelijken.
• Verdachte bestandswijzigingen helpen onderzoeken.
• Updateprocedures en controlelijsten voorbereiden.
• Onderzoeksresultaten overzichtelijk rapporteren.

Toch is AI geen vervanging voor degelijk systeembeheer.

Een AI-agent die zonder controle serverinstellingen aanpast of productieomgevingen bijwerkt, kan zelf problemen veroorzaken.

Bij AI aan Boord hanteren we daarom het uitgangspunt dat automatisering controleerbaar moet blijven.

Een AI-agent kan onderzoek voorbereiden, risico’s signaleren en een wijzigingsvoorstel maken. Een beheerder controleert vervolgens de gevolgen en beslist of een aanpassing wordt uitgevoerd.

Lees ook: AI-agents voor bedrijven: van chatbot naar uitvoering.

Veelgestelde vragen over PHP2Shell

Is mijn WordPress-website automatisch gehackt door PHP2Shell?

Nee. Een kwetsbare installatie betekent dat misbruik mogelijk is, niet dat een aanvaller daadwerkelijk toegang heeft verkregen. Hiervoor moeten de configuratie en eventuele sporen van aanvallen worden onderzocht.

Is PHP2Shell een probleem van Apache of PHP?

Het gaat om kwetsbaarheden in PHP. De combinatie met Apache mod_php heeft bij beveiligingsonderzoek een bijzonder hoog risico laten zien. Andere PHP-configuraties kunnen eveneens kwetsbaar zijn.

Helpt het om alleen WordPress en plugins te updaten?

Nee. WordPress-updates blijven belangrijk, maar lossen deze fouten in de PHP-engine niet op. De onderliggende PHP-installatie moet een geschikte beveiligingsupdate ontvangen.

Kan Cloudflare of een andere firewall PHP2Shell tegenhouden?

Firewallregels kunnen bepaalde aanvalspogingen blokkeren. Ze garanderen echter niet dat alle mogelijke aanvalspaden worden tegengehouden. De PHP-patch blijft noodzakelijk.

Wat moet ik doen als mijn hostingprovider nog geen update aanbiedt?

Neem direct contact op met uw provider en vraag welke beveiligingsmaatregelen en patches zijn toegepast. Laat bevestigen of de PHP-omgeving kwetsbaar is. Bij onvoldoende bescherming kan het nodig zijn een website tijdelijk af te schermen totdat de kwetsbaarheid is verholpen.

Conclusie: een veilige website begint onder WordPress

PHP2Shell maakt duidelijk dat websitebeveiliging verder gaat dan plugins, wachtwoorden en beveiligingsscanners.

Een website kan aan de buitenkant prima functioneren terwijl de onderliggende servercomponenten kwetsbaar zijn.

De twee kritieke PHP-lekken laten bovendien zien hoe AI de ontdekking van complexe beveiligingsproblemen kan versnellen.

Dat biedt mogelijkheden voor betere beveiliging, maar vraagt ook om sneller en zorgvuldiger patchbeheer.

Voor ondernemers is de belangrijkste actie eenvoudig: controleer vandaag welke PHP-versie uw website gebruikt en laat de benodigde beveiligingsupdate uitvoeren.

Technisch websiteprobleem of vermoeden van een hack?

Heeft uw WordPress-website een beveiligingswaarschuwing, vermoedt u malware of twijfelt u over de technische inrichting?

AI aan Boord richt zich op AI, automatisering en veilige systeemintegraties. Voor technisch websitebeheer en WordPress-beveiligingsproblemen kunt u via onze vaste partnerroute een aanvraag indienen bij Media de Boer.

Beschrijf uw beveiligingsprobleem via onze websitehulp

Officiële bronnen

• PHP Security Advisory – 21 oktober 2026
• NCSC Nederland – actuele PHP-beveiligingswaarschuwing
• PHP Security Advisory CVE-2026-109618
• PHP Security Advisory CVE-2026-109619
• OpenAI – Patch the Planet

Laatst gecontroleerd: 21 oktober 2026. Nieuwe beveiligingsinformatie kan aanleiding geven dit artikel bij te werken.