Website Without PHP

PHP2Shell: wat we weten

Laatst gecontroleerd:

Status: gerepareerde versies beschikbaar, update nu

Op deze pagina staan alleen bevestigde feiten, elk met bron en het tijdstip waarop we het controleerden. We werken de pagina bij zodra een primaire bron verandert. Onbevestigde claims nemen we niet over.

Draait je site op een getroffen PHP-versie?

Vul je domein in. We lezen alleen de openbare headers die je site al meestuurt: geen scan, geen login. We bewaren het domein en de uitkomst, nooit je IP-adres.

Hulp nodig? Naar het formulier

Kort samengevat: bevestigde feiten

Live tijdlijn

Elk moment vanaf het eerste signaal, nieuwste bovenaan. Bij elke regel staan bron en status.

  1. Bevestigd CISA (ADP Vulnrichment)

    CISA voegt een beoordeling toe

    CISA voegde aan beide CVE-records een SSVC-beoordeling toe: geen misbruik bekend, niet automatiseerbaar, technische impact totaal. CISA linkte ook naar de blog van Wiz als advies van een derde partij.

    Bron: cve.org CVE Services API (CISA-ADP) · gecontroleerd

  2. Bevestigd NVD (NIST)

    NVD neemt de records op

    NVD nam beide CVE's op met de status Received. NVD heeft nog geen eigen analyse gepubliceerd.

    Bron: NVD CVE API 2.0 · gecontroleerd

  3. Gemeld BleepingComputer (Sergiu Gatlan)

    BleepingComputer meldt de release

    BleepingComputer berichtte over de spoedpatches voor de twee lekken met de naam PHP2Shell en raadde beheerders aan de gerepareerde versies zo snel mogelijk te installeren.

    Bron: BleepingComputer · gecontroleerd

  4. Bevestigd CISA

    Niet in de KEV-catalogus van CISA

    De KEV-catalogus die om 14:04 UTC uitkwam, vermeldt CVE-2026-109618 en CVE-2026-109619 niet. CISA bevestigt geen misbruik in de praktijk.

    Bron: CISA Known Exploited Vulnerabilities catalog · gecontroleerd

  5. Gemeld Wiz Research

    Wiz publiceert PHP2Shell

    Wiz publiceerde zijn onderzoek onder de naam PHP2Shell, met een tijdlijn en dank aan het PHP-team, Calif en OpenAI. Volgens Wiz is bijna elke PHP-versie terug tot 5.4 door minstens één van de problemen geraakt.

    Bron: Wiz Blog · gecontroleerd

  6. Gemeld Cloudflare

    Cloudflare noemt de onderzoekers

    Cloudflare schreef dat Calif.io, Wiz, OpenAI en Quarkslab de twee lekken bekend als php2shell openbaar maakten, en dat het met de PHP Foundation, OpenAI en Wiz aan maatregelen werkte. Cloudflare raadt klanten nog steeds aan te patchen.

    Bron: Cloudflare Blog · gecontroleerd

  7. Bevestigd Ubuntu Security

    Ubuntu levert PHP-updates

    Ubuntu publiceerde USN-8948-1 voor beide CVE's en noemt ze kritiek. Bij onze controle stonden php8.1 op 22.04 (jammy) en php8.3 op 24.04 (noble) als uitgebracht.

    Bron: Ubuntu Security Notice USN-8948-1 · gecontroleerd

  8. Bevestigd PHP Group (CNA)

    CVE-2026-109619 gepubliceerd

    Het CVE-record "RCE via stale global state" werd openbaar met dezelfde score en dezelfde getroffen versies. Als melders staan Wiz, Ryan van Calif.io en OpenAI genoemd.

    Bron: cve.org CVE Services API · gecontroleerd

  9. Gemeld Help Net Security (Mirko Zorz)

    Eerste persberichten over de fix

    Help Net Security meldde dat de fixes uit waren en herhaalde het advies van php.net om direct te updaten. Het noemde ook de oproep van het Britse NCSC om te patchen.

    Bron: Help Net Security · gecontroleerd

  10. Bevestigd PHP Group (CNA)

    CVE-2026-109618 gepubliceerd

    Het CVE-record "RCE via OOM corruption" werd openbaar met CVSS v4.0 9.2 (kritiek). Getroffen: 8.2 vóór 8.2.35, 8.3 vóór 8.3.36, 8.4 vóór 8.4.27 en 8.5 vóór 8.5.12.

    Bron: cve.org CVE Services API · gecontroleerd

  11. Bevestigd Debian Security Team

    Debian repareert php8.4 in trixie

    Debian bracht DSA-6574-1 uit met php8.4 versie 8.4.27-1~deb13u1 voor de stabiele release trixie. Bij onze controle stond php8.2 in bookworm in de Debian-tracker nog als kwetsbaar.

    Bron: Debian Security Advisory DSA-6574-1 · gecontroleerd

  12. Bevestigd PHP security team

    GitHub-advisories gepubliceerd

    PHP publiceerde GHSA-6wmf-4rv5-p3rp (CVE-2026-109619) om 13:34:13 UTC en GHSA-w8hw-w9fx-j79w (CVE-2026-109618) om 13:34:25 UTC, beide als kritiek. Beide noemen 8.2.35, 8.3.36, 8.4.27 en 8.5.12 als gerepareerde versies.

    Bron: GitHub Security Advisories, php/php-src · gecontroleerd

  13. Bevestigd PHP project

    PHP brengt 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit

    De releaseaankondigingen en het securityadvies werden om 12:59 UTC in de websitecode van php.net samengevoegd, voor het geplande tijdstip van 14:00 UTC. Volgens php.net verhelpen de versies twee kritieke lekken waarmee een aanvaller zonder inloggen code kan uitvoeren, en moet iedereen direct updaten.

    Bron: php.net news archive en GitHub php/web-php · gecontroleerd

  14. Gemeld CloudLinux (Imunify360)

    Leverancier van hostingsoftware levert een noodregel

    CloudLinux meldde dat Imunify360-regelset 8.83 het rondgaande aanvalspatroon op Apache blokkeert, alleen als tijdelijke maatregel. Bijgewerkte alt-php- en ea-php-pakketten zouden na de officiële release volgen.

    Bron: CloudLinux Blog · gecontroleerd

  15. Gemeld NCSC (Nederland)

    NCSC opent een informatiepagina

    Het Nationaal Cyber Security Centrum startte een openbare pagina op GitHub. Het NCSC zag nog geen aanwijzingen voor actief misbruik, maar verwachtte op korte termijn grootschalig misbruik.

    Bron: NCSC-NL op GitHub · gecontroleerd

  16. Gemeld NOS

    Nederlandse sites uit voorzorg offline

    De NOS meldde dat Nederlandse organisaties uit voorzorg websites offline haalden, te beginnen met NotuBiz, een vergaderplatform van zo'n honderd gemeenten. Het artikel is later op de dag bijgewerkt.

    Bron: NOS · gecontroleerd

  17. Gemeld Tenable

    Tenable publiceert een FAQ

    Tenable zette op een rij wat vóór de patch bekend was, waaronder het CERT-EU-advies en de verwachte gerepareerde versies. Tenable waarschuwde dat exploitcode die online rondgaat niet gecontroleerd is en malware kan bevatten.

    Bron: Tenable Blog · gecontroleerd

  18. Gemeld SecurityWeek (Ionut Arghire)

    SecurityWeek meldt het lek

    SecurityWeek meldde dat details van twee kritieke PHP-lekken met de naam PHP2Shell vóór de gezamenlijke bekendmaking waren uitgelekt. Volgens het artikel komt de naam PHP2Shell uit openbare berichtgeving, en hadden watchTowr en Huntress nog geen misbruik in de praktijk gezien.

    Bron: SecurityWeek · gecontroleerd

  19. Gemeld Plesk

    Plesk levert gepatchte pakketten

    Een communitymanager van Plesk schreef op het Plesk-forum dat gerepareerde PHP-versies na de release in de Plesk-PHP-pakketten komen, nog zonder vaste datum.

    Bron: CMS ADMINS (citeert het Plesk-forum) · gecontroleerd

  20. Gemeld Cloudflare

    Cloudflare zet WAF-regels aan

    Cloudflare zegt dat klanten met de gratis en betaalde WAF vanaf 03:02 UTC standaard beschermd waren, zo'n negen uur voor de openbare bekendmaking. Cloudflare noemt dit extra bescherming, geen vervanging voor een PHP-update.

    Bron: Cloudflare Blog · gecontroleerd

  21. Gemeld Alexandre Daubois (PHP security team)

    Van binnenuit: de geheimhouding brak te vroeg

    Alexandre Daubois van het PHP-securityteam schreef dat de geheimhouding op 20 oktober op meerdere plekken brak, en dat PHP de release daardoor een dag vervroegde. Hij waarschuwde ook dat de meest gedeelde php.ini-tip maar één van de twee bugs afdekt.

    Bron: daubois.dev · gecontroleerd

  22. Gemeld OpenAI

    OpenAI beschrijft de samenwerking

    OpenAI schreef dat het twee maanden lang een groep van beheerders, onderzoekers en securitypartijen aanstuurde, dat Calif een lek vond met een OpenAI-model, en dat Wiz beide lekken los daarvan vond en meldde. Volgens OpenAI is nu het belangrijkste dat je de fixes installeert.

    Bron: OpenAI · gecontroleerd

  23. Gemeld Calif (Ryan Austin)

    Calif publiceert zijn verslag

    Calif publiceerde zijn verhaal over de twee lekken, die volgens Calif gevonden zijn door Calif, OpenAI en Wiz. Het verslag werd om 13:56 UTC op Hacker News gedeeld en eindigt met één boodschap: patchen.

    Bron: Calif Research · gecontroleerd

  24. Gemeld BSI (Duitsland)

    Duitse BSI waarschuwt

    De Duitse federale cyberdienst BSI publiceerde een waarschuwing over beide CVE's, op basis van de vooraankondiging van PHP. Kevin Beaumont verwees er om 11:40 UTC naar.

    Bron: BSI Cybersicherheitswarnung · gecontroleerd

  25. Gemeld watchTowr

    Eerste FAQ voor beheerders

    watchTowr publiceerde een FAQ over de twee CVE's. Volgens watchTowr was de officiële bekendmaking verwacht op 22 oktober.

    Bron: watchTowr Intelligence · gecontroleerd

  26. Bevestigd PHP security team

    php.net kondigt een spoedrelease aan

    php.net kondigde een securityrelease aan voor woensdag 21 oktober om 14:00 UTC, voor twee kritieke lekken met elk een CVSS v4.0-score van 9.2. Het team hield zich het recht voor eerder uit te brengen als details uitlekten of er misbruik opdook.

    Bron: php.net news archive · gecontroleerd

  27. Gemeld Kevin Beaumont

    Onderzoeker signaleert een lek

    Securityonderzoeker Kevin Beaumont meldde dat iemand beide CVE-nummers had gelekt voordat er een patch was. CERT-EU verwees later in zijn advies naar dit bericht.

    Bron: Mastodon (cyberplace.social) · gecontroleerd

  28. Gemeld Anonymous poster on Hacker News (petecooper)

    Eerste openbare signaal

    Een bericht op Hacker News met een naamloze bron waarschuwde voor twee PHP-lekken waarmee code op afstand uitgevoerd kan worden, en noemde beide gereserveerde CVE-nummers. Volgens het bericht stond een aankondiging gepland voor 22 oktober.

    Bron: Hacker News · gecontroleerd

  29. Gemeld CERT-EU

    CERT-EU-advies 2026-018

    CERT-EU adviseerde organisaties om direct patchen voor te bereiden en, als dat niet kan, internetgerichte PHP-toepassingen van het openbare netwerk te halen tot er een fix is. De pagina noemt als tijdstip 20:33, zonder tijdzone.

    Bron: CERT-EU Security Advisory 2026-018 · gecontroleerd

  30. Bevestigd PHP release managers

    Versies klaargezet

    De releasemanagers zetten de gerepareerde versies klaar in de PHP-broncode: 8.2.35 om 07:30 UTC, 8.3.36 om 14:00 UTC, 8.4.27 om 14:44 UTC en 8.5.12 om 17:04 UTC. Dat gebeurde twee dagen voor de openbare release.

    Bron: GitHub php/php-src (git tags) · gecontroleerd

  31. Bevestigd PHP Group (CNA)

    Twee CVE-nummers gereserveerd

    De PHP Group reserveerde CVE-2026-109618 om 21:03 UTC en CVE-2026-109619 om 21:04 UTC. Een gereserveerd nummer bevat nog geen openbare details tot het record gepubliceerd wordt.

    Bron: cve.org CVE Services API · gecontroleerd

  32. Gemeld PHP security team (according to Wiz)

    PHP begint aan een gezamenlijke fix

    Wiz schrijft dat het PHP-project de meldingen op deze dag erkende en begon aan een gecoördineerde fix. php.net noemt deze datum zelf niet.

    Bron: Wiz Blog · gecontroleerd

  33. Gemeld Wiz Research

    Wiz meldt bij het PHP-securityteam

    Volgens de tijdlijn van Wiz meldde Wiz Research de kwetsbaarheden op deze dag bij het PHP-securityteam.

    Bron: Wiz Blog · gecontroleerd

  34. Gemeld Wiz Research

    Wiz vindt de lekken los daarvan

    Wiz Research schrijft dat het op 19 augustus met hulp van AI-tools de eerste PHP-kwetsbaarheid vond, en de bevindingen op 24 augustus bij het PHP-securityteam meldde.

    Bron: Wiz Blog · gecontroleerd

  35. Gemeld Calif

    Eerste melding bij PHP

    Calif zegt op deze dag de eerste bug bij PHP te hebben gemeld en een gecoördineerde openbaarmaking te zijn gestart. Volgens Calif bevestigde PHP op 15 augustus dat de demonstratie werkte.

    Bron: Calif Research, php2shell write-up · gecontroleerd

  36. Gemeld Calif

    Calif vindt de eerste routes

    Volgens de eigen tijdlijn vond securitybedrijf Calif in PHP meerdere losse routes die tot het uitvoeren van code op afstand konden leiden. Calif meldde de eerste bug op 11 augustus bij het PHP-project en de tweede op 21 augustus.

    Bron: Calif Research, php2shell write-up · gecontroleerd

Nog onbekend

Wat je nu kunt doen

  1. Zoek uit welke PHP-versie elke site van je draait. Je hostingpaneel of een phpinfo-pagina laat het zien.
  2. Draai je PHP 8.2 tot en met 8.5: update naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12, of vraag je hostingpartij wanneer zij dat doen.
  3. Draai je PHP 8.1 of ouder: het PHP-project levert geen updates meer. Vraag je leverancier om een gepatchte versie, of plan een upgrade naar een ondersteunde versie.
  4. Kun je vandaag niet updaten: php.net noemt tijdelijke instellingen die het risico verkleinen maar een site niet veilig maken. Gebruik ze alleen als noodoplossing.
  5. Maak voor de update een verse back-up van bestanden en database.

Maak Website Without PHP jouw voorkeursbron in Google

Met Voorkeursbronnen in Google kies je zelf welke sites je als eerste ziet bij Topverhalen. Voeg ons toe en je ziet nieuwe PHP2Shell-updates eerder.

Voeg Website Without PHP toe aan Google (opent in een nieuw tabblad)
Meer informatie

Google opent een pagina waar je de sites aanvinkt die je liever ziet. Je moet daarvoor ingelogd zijn bij Google. Je kunt ons daar altijd weer weghalen.

Vraag je AI naar deze pagina

Opent je assistent met deze pagina en een korte vraag. Wij zien niets van wat je vraagt.

Veelgestelde vragen

Wat is PHP2Shell?

Zo noemt de pers twee kritieke kwetsbaarheden in PHP, CVE-2026-109618 en CVE-2026-109619, die het PHP-project op 21 oktober 2026 heeft verholpen. Volgens php.net kan een aanvaller er zonder inloggen code mee op de server uitvoeren.

Welke PHP-versies zijn getroffen?

Volgens de CVE-records van het PHP-project: 8.2 vóór 8.2.35, 8.3 vóór 8.3.36, 8.4 vóór 8.4.27 en 8.5 vóór 8.5.12. PHP 8.1 en ouder krijgen geen updates meer van het PHP-project; php.net publiceerde bronpatches voor 7.4, 8.0 en 8.1. Ga ervan uit dat die oudere versies ook geraakt worden.

Welke versies lossen het op?

PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, uitgebracht op 21 oktober 2026.

Worden de lekken al misbruikt?

php.net noemt een gedemonstreerde exploit, een bewijs dat de aanval werkt. php.net en CISA melden geen misbruik in de praktijk, en de CISA-catalogus Known Exploited Vulnerabilities vermeldt ze niet bij onze laatste controle.