PHP2Shell: mythes en feiten
Over PHP2Shell (CVEEen CVE is een officieel nummer voor één bekend beveiligingsprobleem in software, zodat iedereen het over hetzelfde probleem heeft.-2026-109618 en CVE-2026-109619) gaan 6 geruchten rond.
Welke PHP-versie meldt jouw site?
Passieve check van headers, versie en de kop van de homepage. Geen login, geen scan.
Meer uitleg
Per gerucht staat hier wat de primaire bron zegt, laatst gecontroleerd 24 oktober 2026 om 12:13 UTC.
Heeft PHP2Shell een CVSS-score van 10.0?
"CVSSCVSS is een cijfer van 0 tot 10 dat aangeeft hoe ernstig een beveiligingsprobleem is: hoe hoger het cijfer, hoe groter het risico. 10.0"
Uitkomst: Klopt niet
- In gewone taal
- Het gaat om een van de zwaarste categorieën, alleen niet de hoogste score. Updaten blijft nodig.
- Wat de primaire bron zegt
Bron
Geen van beide 10. Het PHP-project geeft 9.2 (CVSS 4.0) voor beide; NVDDe NVD is de openbare database van de Amerikaanse overheid met bekende beveiligingsproblemen in software, aangevuld met scores en uitleg. geeft 9.8 en 8.1 (CVSS 3.1).Bron php.net 20-10NVDNVD CVE-2026-109619 gecontroleerd laatste wijziging
Zijn alle PHP-versies vanaf 5.4 geraakt, inclusief PHP 6?
"Alle PHP-versies vanaf 5.4 zijn geraakt" of "PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. 5 tot en met 8, inclusief 6"
Uitkomst: Klopt deels
- In gewone taal
- Draait je site op PHP 8.2 tot en met 8.5, dan is er een update. Draait hij op een oudere versie, ga er dan van uit dat hij ook risico loopt.
- Wat de primaire bron zegt
Bron
Gerepareerde releases zijn er voor 8.2, 8.3, 8.4 en 8.5. Voor 7.4, 8.0 en 8.1 publiceerde het securityteam alleen bronpatches; ga ervan uit dat die versies ook geraakt worden. Over nog oudere versies zegt het advies niets. NVD rekent alle versies vóór 8.2.35 mee; het PHP-project noemt in de CVE-records alleen 8.2 tot en met 8.5. PHP 6 is nooit uitgebracht.
Welke takken nog fixes krijgen, zie je bij de ondersteunde PHP-versies.
Ben je veilig als je session.upload_progress uitzet?
"Zet session.upload_progress uit en je bent veilig"
Uitkomst: Klopt niet
- In gewone taal
- Die instelling sluit maar één van de aanvalsroutes. De rest blijft open tot je updatet.
- Wat de primaire bron zegt
Bron
Die instelling helpt alleen tegen één aanvalsroute van CVE-2026-109619. Tegen CVE-2026-109618 helpt ze niet. Updaten is de oplossing voor beide lekken. Voor een extra, onwaarschijnlijke route (CVE-2026-115560) noemt het PHP-project deze instelling ook, tot de volgende reguliere release.
Is alleen Apache mod_php kwetsbaar?
"Alleen ApacheEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt. mod_phpmod_php is een oudere manier waarop een server de PHP-code van je website uitvoert, als onderdeel van de software die je site aflevert. is kwetsbaar"
Uitkomst: Klopt niet
- In gewone taal
- Apache mod_php loopt het meeste risico, maar ook PHP-FPMPHP-FPM is een programma op de server dat de PHP-code van je website uitvoert en de afgemaakte pagina doorgeeft, zodat bezoekers hem zien. en andere gangbare manieren lopen risico.
- Wat de primaire bron zegt
Ben je klaar met een paar php.ini-instellingen?
"Met een paar php.ini-instellingen ben je klaar"
Uitkomst: Klopt niet
- In gewone taal
- Instellingen aanpassen helpt hooguit gedeeltelijk en tijdelijk. Alleen een update lost het op.
- Wat de primaire bron zegt
Bron
Volgens het PHP-project is er geen volledige oplossing via instellingen. Alleen updaten naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12 lost het op.Bron php.net 21-10 gecontroleerd laatste wijziging
Is de fix in PHP 8.5.12 onvolledig?
De fix in PHP 8.5.12 is onvolledig
Uitkomst: Onbevestigd
- In gewone taal
- Het PHP-project heeft dat zelf niet publiek bevestigd. Updaten blijft nodig.
- Wat de primaire bron zegt
Bron
Op oss-security werd een niet bevestigd bericht van de Fediverse doorgezet. Later meldde dezelfde schrijver uit de tweede hand dat het PHP-project aan Canonical antwoordde dat het om iets anders gaat en geen echt probleem is. Het PHP-project heeft dat zelf niet publiek bevestigd. De gerepareerde versies blijven 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Updaten blijft nodig.Bron oss-security /16oss-security /23 gecontroleerd laatste wijziging