Een webshell is een script op een webserverEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt. waarmee een aanvaller op afstand toegang tot die server kan houden.
Definitiebron: MITRE ATT&CK: Web Shell. Gelezen op 24 oktober 2026. De praktische vragen op deze pagina helpen je de melding met je beheerder af te bakenen.
Wat betekent toegang via een webshell?
Je website kan gewoon blijven werken terwijl iemand buiten jouw beheer toegang houdt. Het woord beschrijft een hulpmiddel op de server, geen zichtbaar scherm dat je als bezoeker moet kunnen vinden. MITRE beschrijft een webshell als een script dat een aanvaller toegang geeft via een webserver.
Het is een mogelijke vorm van een backdoorEen backdoor is een verborgen of niet-gedocumenteerde toegangsweg tot een systeem, buiten de normale beheerroute..
Een PHP-webshell gebruikt PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt., maar webshells bestaan ook voor andere servertechnieken. De aanwezigheid van PHP bewijst dus geen besmetting. Andersom sluit een website zonder PHP ongewenste toegang via andere software of een hostingaccount niet uit.
De vraag voor jouw beheerder is welke toegang is gevonden, waar die werkt en welke bevoegdheden ermee samenhangen.
Waaraan kun je een webshell herkennen?
Welke PHP-versie meldt jouw site?
Passieve check van headers, versie en de kop van de homepage. Geen login, geen scan.
Een bestand dat niemand uit je team plaatste, een onverwachte wijziging of een waarschuwing van je host verdient onderzoek. Zulke waarnemingen zijn een compromisindicatorEen compromisindicator is een technisch spoor dat kan wijzen op een aanval of ongewenste toegang tot een systeem., geen diagnose op basis van de naam van een bestand. Een legitieme update kan ook bestanden toevoegen.
Laat de beheerder daarom vergelijken met de officiële software en met de wijzigingen die voor jouw site waren afgesproken.
Vraag bij een melding naar de vindplaats, het tijdstip en de reden waarom het bestand verdacht is. Houd de melding apart van de conclusie. Een melding over een andere site op hetzelfde hostingpakket vraagt bijvoorbeeld om een andere afbakening dan een bevestigde vondst in jouw eigen installatie.
Wat doe je bij een vermoeden?
Open of start een verdacht script niet om te kijken wat het doet. Geef de oorspronkelijke melding door aan de beheerder en vraag welke toegang beperkt moet worden. Laat relevante logs en een kopie van de aangetroffen situatie bewaren voordat er iets verandert.
Een gewone back-upEen back-up is een kopie van je hele website, apart bewaard, zodat je hem kunt terugzetten als er iets misgaat. kan zelf al ongewenste bestanden bevatten; terugzetten is daarom geen bewijs dat de ingang dicht is.
Spreek af wie de herkomst onderzoekt, wie de wijzigingen uitvoert en wie daarna de site controleert. Vraag om een overzicht van de gecontroleerde onderdelen. Alleen melden dat een bestand weg is laat open of dezelfde toegang opnieuw kan worden gebruikt.
Je hoeft zelf geen aanval na te bootsen om die vraag te stellen.
Wanneer vraag je hulp?
Schakel je host of een beveiligingsspecialist in als toegang is bevestigd, wijzigingen terugkomen of onduidelijk is welke sites onder hetzelfde account vallen. Geef aan of er klantgegevens of betalingen in de omgeving zitten. Dat bepaalt welke expertise nodig is.
Laat een eventuele PHP-update apart plannen: een versie wijzigen vervangt het onderzoek naar bestaande ongewenste toegang niet.
Vraag de onderzoeker ook wat buiten de controle blijft. Een controle van alleen websitebestanden zegt bijvoorbeeld niets over een beheeraccount dat niet is onderzocht. Bewaar die grenzen bij de oplevering, zodat de volgende beheerder niet op een ruimere conclusie vertrouwt.
Namen van producten en bedrijven op deze pagina zijn van hun eigenaren. We noemen ze om te beschrijven wat er gebeurde. We zijn niet verbonden aan de genoemde partijen.
Bereid je hulpvraag voor
Maak voor je beheerder een korte notitie met de betrokken pagina, het moment van de waarneming en wat je team daarvoor veranderde. Voeg de oorspronkelijke melding toe als die beschikbaar is. Houd feiten en vermoedens apart.
Een beschrijving als ‘dit zag ik op deze pagina’ is bruikbaarder dan een conclusie waarvoor nog geen onderzoek is gedaan.
Voor regulier onderhoud aan een PHP-site kun je de bestaande diensten van een PHP-specialist bekijken. Bespreek eerst welke vraag binnen die dienst past. Deze begrippenpagina biedt uitleg, geen onderzoek van jouw installatie of toezegging over herstel.
Laat bij een mogelijk incident vooraf vastleggen welke deskundigheid nodig is en welke onderdelen iemand daadwerkelijk kan beoordelen.
Spreek af wie de bevindingen ontvangt en wie een open vraag opvolgt. Vraag om een verslag met de gecontroleerde onderdelen, de datum en de beperkingen. Dat helpt je beslissen over een volgende stap zonder een algemene geruststelling als bewijs te gebruiken.
Je eerste eigen stap is de waarneming vastleggen en aan de verantwoordelijke beheerder doorgeven.
Veelgestelde vragen
Is elke webshell geschreven in PHP?
Nee. PHP is één mogelijke servertaal. Laat vaststellen welke software en toegang betrokken zijn voordat je een herstelkeuze maakt.
Wat geef ik door aan mijn beheerder?
De betrokken pagina, het tijdstip en de oorspronkelijke melding. Beschrijf wat je zelf zag en wat nog een vermoeden is. Deel geen wachtwoorden, sleutels of persoonsgegevens van klanten in een gewoon formulier.
Kan de PHP Exposure Check dit vaststellen?
Nee. Die check laat alleen zien wat je server publiek over onder meer de PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. prijsgeeft. Hij onderzoekt geen malware, toegangsrechten of onderschepping van formuliergegevens.
Laat je concrete melding apart beoordelen.