PHP2Shell: mythes en feiten

Heeft PHP2Shell een CVSS-score van 10.0?

"CVSSCVSS is een cijfer van 0 tot 10 dat aangeeft hoe ernstig een beveiligingsprobleem is: hoe hoger het cijfer, hoe groter het risico. 10.0"

Uitkomst: Klopt niet

In gewone taal

Het gaat om een van de zwaarste categorieën, alleen niet de hoogste score. Updaten blijft nodig.

Wat de primaire bron zegt

Het PHP-project geeft 9.2 (CVSS v4.0), NVDDe NVD is de openbare database van de Amerikaanse overheid met bekende beveiligingsproblemen in software, aangevuld met scores en uitleg. geeft 9.8 (CVSS v3.1). Allebei kritiek, geen van beide 10.

Bron php.net 20-10/NVD / gecontroleerd 2026-10-21 17:30 UTC / laatste wijziging 2026-10-21 17:13 UTC

Zijn alle PHP-versies vanaf 5.4 geraakt, inclusief PHP 6?

"Alle PHP-versies vanaf 5.4 zijn geraakt" of "PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. 5 tot en met 8, inclusief 6"

Uitkomst: Klopt deels

In gewone taal

Draait je site op PHP 8.2 tot en met 8.5, dan is er een update. Draait hij op een oudere versie, ga er dan van uit dat hij ook risico loopt.

Wat de primaire bron zegt

Gerepareerde releases zijn er voor 8.2, 8.3, 8.4 en 8.5. Voor 7.4, 8.0 en 8.1 publiceerde het securityteam alleen bronpatches; ga ervan uit dat die versies ook geraakt worden. Over nog oudere versies zegt het advies niets. NVD rekent alle versies vóór 8.2.35 mee; het PHP-project noemt in de CVE-records alleen 8.2 tot en met 8.5. PHP 6 is nooit uitgebracht.

Bron GHSA-w8hw/NVD / gecontroleerd 2026-10-21 17:30 UTC / laatste wijziging 2026-10-21 17:13 UTC

Welke takken nog fixes krijgen, zie je bij de ondersteunde PHP-versies.

Ben je veilig als je session.upload_progress uitzet?

"Zet session.upload_progress uit en je bent veilig"

Uitkomst: Klopt niet

In gewone taal

Die instelling sluit maar één van de aanvalsroutes. De rest blijft open tot je updatet.

Wat de primaire bron zegt

Die instelling helpt alleen tegen één aanvalsroute van CVE-2026-109619. Tegen CVE-2026-109618 helpt ze niet. Alleen updaten is een volledige oplossing.

Bron GHSA-6wmf / gecontroleerd 2026-10-21 16:25 UTC / laatste wijziging 2026-10-21 16:34 UTC

Is alleen Apache mod_php kwetsbaar?

"Alleen ApacheEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt. mod_phpmod_php is een oudere manier waarop een server de PHP-code van je website uitvoert, als onderdeel van de software die je site aflevert. is kwetsbaar"

Uitkomst: Klopt niet

In gewone taal

Apache mod_php loopt het meeste risico, maar ook PHP-FPMPHP-FPM is een programma op de server dat de PHP-code van je website uitvoert en de afgemaakte pagina doorgeeft, zodat bezoekers hem zien. en andere gangbare manieren lopen risico.

Wat de primaire bron zegt

mod_php is het zwaarst getroffen. Ook PHP-FPM is kwetsbaar: voor CVE-2026-109619 is aanvallen via FPM aangetoond, voor CVE-2026-109618 volgens analyse van de broncode. FrankenPHP en LiteSpeed (LSAPI) zijn waarschijnlijk ook kwetsbaar.

Bron GHSA-w8hw/GHSA-6wmf / gecontroleerd 2026-10-21 16:25 UTC / laatste wijziging 2026-10-21 16:34 UTC

Ben je klaar met een paar php.ini-instellingen?

"Met een paar php.ini-instellingen ben je klaar"

Uitkomst: Klopt niet

In gewone taal

Instellingen aanpassen helpt hooguit gedeeltelijk en tijdelijk. Alleen een update lost het op.

Wat de primaire bron zegt

Volgens het PHP-project is er geen volledige oplossing via instellingen. Alleen updaten naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12 lost het op.

Bron php.net 21-10 / gecontroleerd 2026-10-21 16:25 UTC / laatste wijziging 2026-10-21 16:34 UTC