Website Without PHP
BE
Menu

PHP2Shell: wat we weten

Update nuGerepareerde versies beschikbaar

Laatst gecontroleerd Deel deze pagina

Op deze pagina staan alleen bevestigde feiten, elk met bron en het tijdstip waarop we het controleerden. We werken de pagina bij zodra een primaire bron verandert. Onbevestigde claims nemen we niet over.

Kort samengevat

Gerepareerde versies
PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35

Bron php.net security advisory gecontroleerd details

Getroffen volgens de CVE-records
8.2 vóór 8.2.35, 8.3 vóór 8.3.36, 8.4 vóór 8.4.27 en 8.5 vóór 8.5.12. NVD rekent ook oudere versies mee

Bron cve.org (CNA: PHP Group) gecontroleerd details

PHP 8.1 en ouder
Geen updates meer van het PHP-project. Ga ervan uit dat deze versies ook geraakt worden.

Bron php.net security advisory gecontroleerd details

CVE-nummers
CVE-2026-109618 en CVE-2026-109619: CVSS v4.0 9.2 (PHP-project), CVSS v3.1 9.8 (NVD)

Bron cve.org (CNA: PHP Group) gecontroleerd details

Misbruik in de praktijk
Niet bevestigd door php.net of CISA (KEV). Cloudflare meldt aanvalsverkeer, watchTowr (via The Register) ziet pogingen tot misbruik en CERT-EU meldt circulerende proof-of-concept-code; geslaagd misbruik bevestigt geen van deze bronnen.

Bron CISA KEV gecontroleerd details

Geruchten en feiten

Wat er rondgaat, naast wat de primaire bron zegt.

Gerucht: "CVSS 10.0"
Het PHP-project geeft 9.2 (CVSS v4.0), NVD geeft 9.8 (CVSS v3.1). Allebei kritiek, geen van beide 10.

Bron php.net 20-10NVD gecontroleerd

Gerucht: "Alle PHP-versies vanaf 5.4 zijn geraakt" of "PHP 5 tot en met 8, inclusief 6"
Gerepareerde releases zijn er voor 8.2, 8.3, 8.4 en 8.5. Voor 7.4, 8.0 en 8.1 publiceerde het securityteam alleen bronpatches; ga ervan uit dat die versies ook geraakt worden. Over nog oudere versies zegt het advies niets. NVD rekent alle versies vóór 8.2.35 mee; het PHP-project noemt in de CVE-records alleen 8.2 tot en met 8.5. PHP 6 is nooit uitgebracht.

Bron GHSA-w8hwNVD gecontroleerd

Gerucht: "Zet session.upload_progress uit en je bent veilig"
Die instelling helpt alleen tegen één aanvalsroute van CVE-2026-109619. Tegen CVE-2026-109618 helpt ze niet. Alleen updaten is een volledige oplossing.

Bron GHSA-6wmf gecontroleerd

Gerucht: "Alleen Apache mod_php is kwetsbaar"
mod_php is het zwaarst getroffen. Ook PHP-FPM is kwetsbaar: voor CVE-2026-109619 is aanvallen via FPM aangetoond, voor CVE-2026-109618 volgens analyse van de broncode. FrankenPHP en LiteSpeed (LSAPI) zijn waarschijnlijk ook kwetsbaar.

Bron GHSA-w8hwGHSA-6wmf gecontroleerd

Gerucht: "Met een paar php.ini-instellingen ben je klaar"
Volgens het PHP-project is er geen volledige oplossing via instellingen. Alleen updaten naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12 lost het op.

Bron php.net 21-10 gecontroleerd

  1. Domein
  2. Controle
  3. Uitkomst
  4. Rapport

Welke PHP-versie draait jouw site?

Vul je domein in. We lezen alleen wat je site openbaar meestuurt: de headers en de kop van de homepage. Geen scan, geen login. We bewaren het domein en de uitkomst, nooit je IP-adres.

Wat je nu kunt doen

  1. Update vandaag naar PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12, of naar het gepatchte pakket van je hoster of distributie. Dat is de enige volledige oplossing.
  2. Kan dat niet direct? Laat je beheerder de tijdelijke maatregelen uit de twee securityadviezen van het PHP-project toepassen. Daarna moeten alle PHP-processen herstart worden. Het gaat onder meer om:
    • de memory_limit volgens het advies;
    • session.upload_progress uitzetten;
    • op PHP 8.5 fatal_error_backtraces uitzetten;
    • formulieren met bestandsupload aan de voorkant blokkeren als je site ze niet gebruikt.
  3. Let op bij de memory_limit: zonder geheugengrens per verzoek kan één verzoek veel servergeheugen gebruiken. Doe dit alleen tijdelijk, samen met de grenzen op verzoekgrootte uit het advies, en update daarna.
  4. Zie dit niet als oplossing. Volgens het PHP-project dekken instellingen nooit alles.

Bron GHSA-w8hw-w9fx-j79wGHSA-6wmf-4rv5-p3rp

Geen beheerder of geen idee wat hier staat? Laat je webbouwer of hoster dit vandaag doen, of vraag het ons via het formulier op deze pagina. We reageren binnen 1 werkdag.

Plan je PHP-upgrade: kalenderbestand

Kies je PHP-tak en download een klein kalenderbestand (.ics) met de officiële einddatums van support volgens php.net. Er zit ook één herinnering in, als voorstel gelabeld, 60 dagen voordat securitysupport eindigt. Geen e-mailadres nodig en er staan geen persoonsgegevens in het bestand.

Bron php.net supported versions gecontroleerd

Bevestigde feiten

  • Op 21 oktober 2026 bracht het PHP-project PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit. Volgens php.net verhelpen deze versies twee kritieke kwetsbaarheden waarmee een aanvaller zonder inloggen code op de server kan uitvoeren. php.net raadt alle PHP-gebruikers dringend aan direct te updaten.

    Bron php.net security advisory gecontroleerd Versie 1

  • php.net noemt als risico alle PHP-installaties die webverzoeken afhandelen, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het risico is volgens php.net het grootst bij mod_php; php.net noemt een gedemonstreerde exploit (een bewijs dat de aanval werkt) waarbij een verzoek zonder inloggen de aanval start voordat er applicatiecode draait. php.net en CISA melden geen misbruik in de praktijk.

    Bron php.net security advisory gecontroleerd Versie 2

    Correcties (1)

    Gecorrigeerd op : was “php.net noemt een gedemonstreerde exploit waarbij een verzoek zonder inloggen de aanval start voordat er applicatiecode draait.”, reden: Claimformulering getoetst: een gedemonstreerde exploit is een bewijs dat de aanval werkt, geen misbruik in de praktijk. Uitleg en de vermelding dat php.net en CISA geen misbruik melden zijn toegevoegd.

  • Het PHP-project publiceerde om 13:48 en 13:54 UTC CVE-2026-109618 en CVE-2026-109619 op cve.org, elk met CVSS v4.0 9.2. NVD rondde om 17:01 UTC zijn analyse af en geeft beide een eigen score van CVSS v3.1 9.8 (kritiek). Het verschil komt door een andere scoringsversie en een andere inschatting van de aanvalscomplexiteit, niet door nieuwe feiten. Getroffen volgens de CVE-records van het PHP-project: 8.2 vóór 8.2.35, 8.3 vóór 8.3.36, 8.4 vóór 8.4.27 en 8.5 vóór 8.5.12. NVD rekent daarnaast alle oudere PHP-versies tot de getroffen versies.

    Bron cve.org (CNA: PHP Group), ook GHSA-w8hw-w9fx-j79w, ook GHSA-6wmf-4rv5-p3rp, ook NVD CVE-2026-109618, ook NVD CVE-2026-109619 gecontroleerd Versie 6

    Correcties (5)

    Gecorrigeerd op : was “php.net geeft elk een CVSS v4.0-score van 9.2.”, reden: Bron van de score gecorrigeerd: die komt uit de CVE-records van de PHP Group, met beschrijving van de aanvalsroute.

    Gecorrigeerd op : was “NVD heeft nog geen eigen record gepubliceerd (gecontroleerd om 14:06 UTC).”, reden: NVD-status bijgewerkt: beide records om 14:17 UTC ontvangen.

    Gecorrigeerd op : was “(de GHSA-securityadviezen stonden niet als bron bij dit feit)”, reden: Primaire securityadviezen van het PHP-project als extra bron toegevoegd (broncontrole Hector 16:25 UTC).

    Gecorrigeerd op : was “NVD heeft beide records om 14:17 UTC ontvangen (status Received); een eigen NVD-analyse en -score is er nog niet.”, reden: NVD-status bijgewerkt: beide records worden sinds 16:13 UTC geanalyseerd; de 9.2 bij NVD is de score van het PHP-project (toets Hector 16:50 UTC).

    Gecorrigeerd op : was “NVD analyseert beide records (status Undergoing Analysis sinds 16:13 UTC); een eigen NVD-score is er nog niet. De 9.2 bij NVD is de score van het PHP-project.”, reden: NVD-analyse afgerond om 17:01 UTC: eigen score CVSS v3.1 9.8 en een ruimere lijst getroffen versies (toets Hector 17:13 UTC).

  • PHP 8.1 en ouder krijgen geen updates meer van het PHP-project. Oudere versies staan niet in de CVE-records, maar vanwege de ernst publiceerde het PHP-securityteam minimale bronpatches voor PHP 7.4, 8.0 en 8.1; ga er dus van uit dat die versies ook geraakt worden. Sommige distributies en LTS-leveranciers leveren eigen gepatchte versies.

    Bron php.net security advisory gecontroleerd Versie 2

    Correcties (1)

    Gecorrigeerd op : was “Vanwege de ernst publiceerde het PHP-securityteam minimale bronpatches voor PHP 7.4, 8.0 en 8.1, voor wie PHP zelf compileert.”, reden: Oudere versies staan niet in de CVE-records; de tekst zegt nu dat je ze als getroffen moet behandelen.

  • De CISA-catalogus Known Exploited Vulnerabilities (catalogusversie 2026.10.21, uitgebracht 14:04 UTC) vermeldt deze kwetsbaarheden niet, en php.net meldt geen misbruik in de praktijk. Dat betekent niet dat er geen aanvallen zijn: Cloudflare meldt aanvalsverkeer op zijn klanten, watchTowr (via The Register) ziet pogingen tot misbruik, CERT-EU meldt circulerende proof-of-concept-code en een grotere kans op misbruik, en NCSC-NL achtte grootschalig misbruik op korte termijn waarschijnlijk. Geslaagd misbruik is door geen van deze bronnen bevestigd.

    Bron CISA KEV, ook The Register (watchTowr) gecontroleerd Versie 4

    Correcties (3)

    Gecorrigeerd op : was “(versie 20 oktober 2026, 19:00 UTC)”, reden: Nieuwere catalogusversie gecontroleerd.

    Gecorrigeerd op : was “Misbruik in de praktijk is op dit moment niet bevestigd door php.net of CISA.”, reden: Meldingen van Cloudflare, CERT-EU en NCSC-NL toegevoegd.

    Gecorrigeerd op : was “Cloudflare meldt aanvalsverkeer op zijn klanten, CERT-EU meldt circulerende proof-of-concept-code”, reden: Melding van watchTowr via The Register (15:08 UTC) toegevoegd: pogingen tot misbruik, geen geslaagde (toets Hector).

Live tijdlijn

42 momenten, nieuwste bovenaan

Elk moment vanaf het eerste signaal. Bij elke regel staan bron en status. Bevestigd betekent: gecontroleerd bij een primaire bron. Gemeld betekent: zo bericht door de genoemde partij.

    1. BevestigdNVD (NIST)

      NVD rondt zijn analyse af

      NVD zette beide CVE's op de status Analyzed (17:00 UTC voor CVE-2026-109618, 17:01 UTC voor CVE-2026-109619) en geeft beide een eigen score van CVSS v3.1 9.8 (kritiek), naast CVSS v4.0 9.2 van het PHP-project. NVD rekent alle PHP-versies vóór 8.2.35 tot de getroffen versies, ruimer dan de CVE-records van het PHP-project.

      De bron noemt geen PHP-tak.

      Bron NVD CVE API 2.0 gecontroleerd

    2. GemeldThe Register (citeert watchTowr)

      watchTowr ziet pogingen tot misbruik

      15:08 UTC: The Register citeert watchTowr: het bedrijf ziet op zijn sensoren pogingen om de lekken te misbruiken. Volgens watchTowr is geen enkele poging tot nu toe geslaagd.

      De bron noemt geen PHP-tak.

      Bron The Register gecontroleerd

    3. BevestigdCISA (ADP Vulnrichment)

      CISA voegt een beoordeling toe

      CISA voegde aan beide CVE-records een SSVC-beoordeling toe: geen misbruik bekend, niet automatiseerbaar, technische impact totaal. CISA linkte ook naar de blog van Wiz als advies van een derde partij.

      De bron noemt geen PHP-tak.

      Bron cve.org CVE Services API (CISA-ADP) gecontroleerd

    4. BevestigdNVD (NIST)

      NVD neemt de records op

      NVD nam beide CVE's op met de status Received. NVD heeft nog geen eigen analyse gepubliceerd.

      De bron noemt geen PHP-tak.

      Bron NVD CVE API 2.0 gecontroleerd

    5. GemeldBleepingComputer (Sergiu Gatlan)

      BleepingComputer meldt de release

      BleepingComputer berichtte over de spoedpatches voor de twee lekken met de naam PHP2Shell en raadde beheerders aan de gerepareerde versies zo snel mogelijk te installeren.

      De bron noemt geen PHP-tak.

      Bron BleepingComputer gecontroleerd

    6. BevestigdCISA

      Niet in de KEV-catalogus van CISA

      De KEV-catalogus die om 14:04 UTC uitkwam, vermeldt CVE-2026-109618 en CVE-2026-109619 niet. CISA bevestigt geen misbruik in de praktijk.

      De bron noemt geen PHP-tak.

      Bron CISA Known Exploited Vulnerabilities catalog gecontroleerd

    7. GemeldWiz Research

      Wiz publiceert PHP2Shell

      Wiz publiceerde zijn onderzoek onder de naam PHP2Shell, met een tijdlijn en dank aan het PHP-team, Calif en OpenAI. Volgens Wiz is bijna elke PHP-versie terug tot 5.4 door minstens één van de problemen geraakt.

      De bron noemt geen PHP-tak.

      Bron Wiz Blog gecontroleerd

    8. GemeldCloudflare

      Cloudflare noemt de onderzoekers

      Cloudflare schreef dat Calif.io, Wiz, OpenAI en Quarkslab de twee lekken bekend als php2shell openbaar maakten, en dat het met de PHP Foundation, OpenAI en Wiz aan maatregelen werkte. Cloudflare raadt klanten nog steeds aan te patchen.

      De bron noemt geen PHP-tak.

      Bron Cloudflare Blog gecontroleerd

    9. BevestigdUbuntu SecurityPHP 8.1PHP 8.3

      Ubuntu levert PHP-updates

      Ubuntu publiceerde USN-8948-1 voor beide CVE's en noemt ze kritiek. Bij onze controle stonden php8.1 op 22.04 (jammy) en php8.3 op 24.04 (noble) als uitgebracht.

      Bron Ubuntu Security Notice USN-8948-1 gecontroleerd

    10. GemeldCloudflare

      Cloudflare ziet aanvalsverkeer

      Cloudflare meldt dat het aanvalsverkeer op zijn klanten heeft waargenomen en zijn WAF-regels daarop heeft aangepast. Dit is een melding van aanvalspogingen, geen bevestiging van geslaagd misbruik.

      De bron noemt geen PHP-tak.

      Bron Cloudflare-blog gecontroleerd

    11. BevestigdPHP Group (CNA)PHP 8.2PHP 8.3PHP 8.4PHP 8.5

      CVE-2026-109619 gepubliceerd

      Het CVE-record "RCE via stale global state" werd openbaar met dezelfde score en dezelfde getroffen versies. Als melders staan Wiz, Ryan van Calif.io en OpenAI genoemd.

      Bron cve.org CVE Services API gecontroleerd

    12. GemeldHelp Net Security (Mirko Zorz)

      Eerste persberichten over de fix

      Help Net Security meldde dat de fixes uit waren en herhaalde het advies van php.net om direct te updaten. Het noemde ook de oproep van het Britse NCSC om te patchen.

      De bron noemt geen PHP-tak.

      Bron Help Net Security gecontroleerd

    13. BevestigdPHP Group (CNA)PHP 8.2PHP 8.3PHP 8.4PHP 8.5

      CVE-2026-109618 gepubliceerd

      Het CVE-record "RCE via OOM corruption" werd openbaar met CVSS v4.0 9.2 (kritiek). Getroffen: 8.2 vóór 8.2.35, 8.3 vóór 8.3.36, 8.4 vóór 8.4.27 en 8.5 vóór 8.5.12.

      Bron cve.org CVE Services API gecontroleerd

    14. BevestigdDebian Security TeamPHP 8.2PHP 8.4

      Debian repareert php8.4 in trixie

      Debian bracht DSA-6574-1 uit met php8.4 versie 8.4.27-1~deb13u1 voor de stabiele release trixie. Bij onze controle stond php8.2 in bookworm in de Debian-tracker nog als kwetsbaar.

      Bron Debian Security Advisory DSA-6574-1 gecontroleerd

    15. BevestigdPHP security team

      Advies noemt memory_limit als tijdelijke maatregel

      Het securityadvies voor CVE-2026-109618 noemt als belangrijkste tijdelijke instelling voor wie niet direct kan updaten: memory_limit=-1, afgedwongen door de beheerder, en daarna alle PHP-workers herstarten. Het PHP-project noemt dit uitdrukkelijk geen volledige oplossing.

      De bron noemt geen PHP-tak.

      Bron GitHub Security Advisory GHSA-w8hw-w9fx-j79w gecontroleerd

    16. BevestigdPHP security teamPHP 8.2PHP 8.3PHP 8.4PHP 8.5

      GitHub-advisories gepubliceerd

      PHP publiceerde GHSA-6wmf-4rv5-p3rp (CVE-2026-109619) om 13:34:13 UTC en GHSA-w8hw-w9fx-j79w (CVE-2026-109618) om 13:34:25 UTC, beide als kritiek. Beide noemen 8.2.35, 8.3.36, 8.4.27 en 8.5.12 als gerepareerde versies.

      Bron GitHub Security Advisories, php/php-src gecontroleerd

    17. BevestigdPHP projectPHP 8.2PHP 8.3PHP 8.4PHP 8.5

      PHP brengt 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit

      De releaseaankondigingen en het securityadvies werden om 12:59 UTC in de websitecode van php.net samengevoegd, voor het geplande tijdstip van 14:00 UTC. Volgens php.net verhelpen de versies twee kritieke lekken waarmee een aanvaller zonder inloggen code kan uitvoeren, en moet iedereen direct updaten.

      Bron php.net news archive en GitHub php/web-php gecontroleerd

    18. BevestigdNCSC-NL

      NCSC-NL: grootschalig misbruik waarschijnlijk

      NCSC-NL schreef in zijn php2shell-repository dat er al meerdere publieke proof-of-concepts waren, dat het geen aanwijzing had voor actief misbruik, en dat het grootschalig misbruik op korte termijn waarschijnlijk achtte. NCSC-NL heeft die passage om 14:11 UTC vervangen door de officiële informatie van php.net.

      De bron noemt geen PHP-tak.

      Bron NCSC-NL, php2shell-repository (versie 1781b17) gecontroleerd

    19. GemeldCloudLinux (Imunify360)

      Leverancier van hostingsoftware levert een noodregel

      CloudLinux meldde dat Imunify360-regelset 8.83 het rondgaande aanvalspatroon op Apache blokkeert, alleen als tijdelijke maatregel. Bijgewerkte alt-php- en ea-php-pakketten zouden na de officiële release volgen.

      De bron noemt geen PHP-tak.

      Bron CloudLinux Blog gecontroleerd

    20. GemeldNCSC (Nederland)

      NCSC opent een informatiepagina

      Het Nationaal Cyber Security Centrum startte een openbare pagina op GitHub. Het NCSC zag nog geen aanwijzingen voor actief misbruik, maar verwachtte op korte termijn grootschalig misbruik.

      De bron noemt geen PHP-tak.

      Bron NCSC-NL op GitHub gecontroleerd

    21. GemeldNOS

      Nederlandse sites uit voorzorg offline

      De NOS meldde dat Nederlandse organisaties uit voorzorg websites offline haalden, te beginnen met NotuBiz, een vergaderplatform van zo'n honderd gemeenten. Het artikel is later op de dag bijgewerkt.

      De bron noemt geen PHP-tak.

      Bron NOS gecontroleerd

    22. GemeldTenable

      Tenable publiceert een FAQ

      Tenable zette op een rij wat vóór de patch bekend was, waaronder het CERT-EU-advies en de verwachte gerepareerde versies. Tenable waarschuwde dat exploitcode die online rondgaat niet gecontroleerd is en malware kan bevatten.

      De bron noemt geen PHP-tak.

      Bron Tenable Blog gecontroleerd

    23. GemeldSecurityWeek (Ionut Arghire)

      SecurityWeek meldt het lek

      SecurityWeek meldde dat details van twee kritieke PHP-lekken met de naam PHP2Shell vóór de gezamenlijke bekendmaking waren uitgelekt. Volgens het artikel komt de naam PHP2Shell uit openbare berichtgeving, en hadden watchTowr en Huntress nog geen misbruik in de praktijk gezien.

      De bron noemt geen PHP-tak.

      Bron SecurityWeek gecontroleerd

    24. GemeldPlesk

      Plesk levert gepatchte pakketten

      Een communitymanager van Plesk schreef op het Plesk-forum dat gerepareerde PHP-versies na de release in de Plesk-PHP-pakketten komen, nog zonder vaste datum.

      De bron noemt geen PHP-tak.

      Bron CMS ADMINS (Plesk forum) gecontroleerd

    25. GemeldCloudflare

      Cloudflare zet WAF-regels aan

      Cloudflare zegt dat klanten met de gratis en betaalde WAF vanaf 03:02 UTC standaard beschermd waren, zo'n negen uur voor de openbare bekendmaking. Cloudflare noemt dit extra bescherming, geen vervanging voor een PHP-update.

      De bron noemt geen PHP-tak.

      Bron Cloudflare Blog gecontroleerd

    26. hele dag

      GemeldCERT-EU

      CERT-EU: proof-of-concept-code circuleert

      CERT-EU meldt dat er eerste publieke proof-of-concept-code circuleert en dat dit de kans vergroot dat aanvallers de lekken al misbruiken.

      De bron noemt geen PHP-tak.

      Bron CERT-EU Security Advisory 2026-018 (v1.1) gecontroleerd

    27. hele dag

      GemeldAlexandre Daubois (daubois.dev)

      Gemeld van binnenuit: de geheimhouding brak te vroeg

      Alexandre Daubois, die schrijft van binnenuit het PHP-securityteam, schreef dat de geheimhouding op 20 oktober op meerdere plekken brak. Volgens hem vervroegde PHP de release daardoor een dag; php.net zelf kondigde 21 oktober aan en bevestigt geen eerdere geplande datum. Hij waarschuwde ook dat de meest gedeelde php.ini-tip maar één van de twee bugs afdekt.

      De bron noemt geen PHP-tak.

      Bron daubois.dev gecontroleerd

    28. hele dag

      GemeldOpenAI

      OpenAI beschrijft de samenwerking

      OpenAI schreef dat het twee maanden lang een groep van beheerders, onderzoekers en securitypartijen aanstuurde, dat Calif een lek vond met een OpenAI-model, en dat Wiz beide lekken los daarvan vond en meldde. Volgens OpenAI is nu het belangrijkste dat je de fixes installeert.

      De bron noemt geen PHP-tak.

      Bron OpenAI gecontroleerd

    29. hele dag

      GemeldCalif (Ryan Austin)

      Calif publiceert zijn verslag

      Calif publiceerde zijn verhaal over de twee lekken, die volgens Calif gevonden zijn door Calif, OpenAI en Wiz. Het verslag werd om 13:56 UTC op Hacker News gedeeld en eindigt met één boodschap: patchen.

      De bron noemt geen PHP-tak.

      Bron Calif Research gecontroleerd

    30. hele dag

      GemeldBSI (Duitsland)

      Duitse BSI waarschuwt

      De Duitse federale cyberdienst BSI publiceerde een waarschuwing over beide CVE's, op basis van de vooraankondiging van PHP. Kevin Beaumont verwees er om 11:40 UTC naar.

      De bron noemt geen PHP-tak.

      Bron BSI Cybersicherheitswarnung gecontroleerd

    1. GemeldwatchTowr

      Eerste FAQ voor beheerders

      watchTowr publiceerde een FAQ over de twee CVE's. Volgens watchTowr was de officiële bekendmaking verwacht op 22 oktober.

      De bron noemt geen PHP-tak.

      Bron watchTowr Intelligence gecontroleerd

    2. BevestigdPHP security team

      php.net kondigt een spoedrelease aan

      php.net kondigde een securityrelease aan voor woensdag 21 oktober om 14:00 UTC, voor twee kritieke lekken met elk een CVSS v4.0-score van 9.2. Het team hield zich het recht voor eerder uit te brengen als details uitlekten of er misbruik opdook.

      De bron noemt geen PHP-tak.

      Bron php.net news archive gecontroleerd

    3. GemeldKevin Beaumont

      Onderzoeker signaleert een lek

      Securityonderzoeker Kevin Beaumont meldde dat iemand beide CVE-nummers had gelekt voordat er een patch was. CERT-EU verwees later in zijn advies naar dit bericht.

      De bron noemt geen PHP-tak.

      Bron Mastodon (cyberplace.social) gecontroleerd

    4. GemeldAnonymous poster on Hacker News (petecooper)

      Eerste openbare signaal

      Een bericht op Hacker News met een naamloze bron waarschuwde voor twee PHP-lekken waarmee code op afstand uitgevoerd kan worden, en noemde beide gereserveerde CVE-nummers. Volgens het bericht stond een aankondiging gepland voor 22 oktober.

      De bron noemt geen PHP-tak.

      Bron Hacker News gecontroleerd

    5. hele dag

      GemeldCERT-EU

      CERT-EU-advies 2026-018

      CERT-EU adviseerde organisaties om direct patchen voor te bereiden en, als dat niet kan, internetgerichte PHP-toepassingen van het openbare netwerk te halen tot er een fix is. De pagina noemt als tijdstip 20:33, zonder tijdzone.

      De bron noemt geen PHP-tak.

      Bron CERT-EU Security Advisory 2026-018 gecontroleerd

    1. BevestigdPHP release managersPHP 8.2PHP 8.3PHP 8.4PHP 8.5

      Versies klaargezet

      De releasemanagers zetten de gerepareerde versies klaar in de PHP-broncode: 8.2.35 om 07:30 UTC, 8.3.36 om 14:00 UTC, 8.4.27 om 14:44 UTC en 8.5.12 om 17:04 UTC. Dat gebeurde twee dagen voor de openbare release.

      Bron GitHub php/php-src (git tags) gecontroleerd

    1. BevestigdPHP Group (CNA)

      Twee CVE-nummers gereserveerd

      De PHP Group reserveerde CVE-2026-109618 om 21:03 UTC en CVE-2026-109619 om 21:04 UTC. Een gereserveerd nummer bevat nog geen openbare details tot het record gepubliceerd wordt.

      De bron noemt geen PHP-tak.

      Bron cve.org CVE Services API gecontroleerd

    1. hele dag

      GemeldPHP security team (according to Wiz)

      PHP begint aan een gezamenlijke fix

      Wiz schrijft dat het PHP-project de meldingen op deze dag erkende en begon aan een gecoördineerde fix. php.net noemt deze datum zelf niet.

      De bron noemt geen PHP-tak.

      Bron Wiz Blog gecontroleerd

    1. hele dag

      GemeldWiz Research

      Wiz meldt bij het PHP-securityteam

      Volgens de tijdlijn van Wiz meldde Wiz Research de kwetsbaarheden op deze dag bij het PHP-securityteam.

      De bron noemt geen PHP-tak.

      Bron Wiz Blog gecontroleerd

    1. hele dag

      GemeldWiz Research

      Wiz vindt de lekken los daarvan

      Wiz Research schrijft dat het op 19 augustus met hulp van AI-tools de eerste PHP-kwetsbaarheid vond, en de bevindingen op 24 augustus bij het PHP-securityteam meldde.

      De bron noemt geen PHP-tak.

      Bron Wiz Blog gecontroleerd

    1. hele dag

      GemeldCalif

      Eerste melding bij PHP

      Calif zegt op deze dag de eerste bug bij PHP te hebben gemeld en een gecoördineerde openbaarmaking te zijn gestart. Volgens Calif bevestigde PHP op 15 augustus dat de demonstratie werkte.

      De bron noemt geen PHP-tak.

      Bron Calif Research, php2shell write-up gecontroleerd

    1. hele dag

      GemeldCalif

      Calif vindt de eerste routes

      Volgens de eigen tijdlijn vond securitybedrijf Calif in PHP meerdere losse routes die tot het uitvoeren van code op afstand konden leiden. Calif meldde de eerste bug op 11 augustus bij het PHP-project en de tweede op 21 augustus.

      De bron noemt geen PHP-tak.

      Bron Calif Research, php2shell write-up gecontroleerd

Nog onbekend

  • Of de lekken in de praktijk misbruikt worden
  • Wanneer jouw hostingpartij of Linux-distributie bijgewerkte pakketten levert

Veelgestelde vragen

Wat is PHP2Shell?

Zo noemt de pers twee kritieke kwetsbaarheden in PHP, CVE-2026-109618 en CVE-2026-109619, die het PHP-project op 21 oktober 2026 heeft verholpen. Volgens php.net kan een aanvaller er zonder inloggen code mee op de server uitvoeren.

Welke PHP-versies zijn getroffen?

Volgens de CVE-records van het PHP-project: 8.2 vóór 8.2.35, 8.3 vóór 8.3.36, 8.4 vóór 8.4.27 en 8.5 vóór 8.5.12. PHP 8.1 en ouder krijgen geen updates meer van het PHP-project; php.net publiceerde bronpatches voor 7.4, 8.0 en 8.1. Ga ervan uit dat die oudere versies ook geraakt worden.

Welke versies lossen het op?

PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, uitgebracht op 21 oktober 2026.

Worden de lekken al misbruikt?

php.net noemt een gedemonstreerde exploit, een bewijs dat de aanval werkt. php.net en CISA melden geen misbruik in de praktijk, en de CISA-catalogus Known Exploited Vulnerabilities vermeldt ze niet bij onze laatste controle.