Kritieke kwetsbaarheid in PHP

PHP2Shell: wij schermen je server af en patchen hem.

Twee lekken in PHP zelf geven aanvallers zonder inlog toegang tot je server. De details lagen al online voordat de patch er was. Wij nemen het complete traject over: inventariseren, afschermen, patchen en controleren of er al iemand binnen is geweest.

CVE-2026-109618CVE-2026-109619CVSS 9,2 / 10

Vandaag laten checken Bel 085 30 350 45

Status voor beheerklanten

Geen actie nodig

Tijdelijke maatregelen doorgevoerd
PHP-versies per server in kaart
Patch uitrollen zodra PHP hem uitbrengt
Logs nalopen op sporen van misbruik

Technische uitleg op ons blog →

Waarom dit anders is

Het lek zit vóór je applicatie.

PHP verwerkt een verzoek al voordat WordPress, Laravel of je eigen code één regel uitvoert. Je CMS bijwerken of een beveiligingsplugin installeren lost dit dus niet op.

Aanvallerverzoek zonder inlog

Webservernginx · Apache · LiteSpeedHier blokkeren wij

PHPmultipart-verwerkingHier zit het lek

WordPress · Laravel · pluginskomt te laat

Ben je kwetsbaar?

Ga ervan uit van wel als je PHP gebruikt. Wat er moet gebeuren hangt af van je versie.

Krijgt een patchPHP 8.2 – 8.5

Nu afschermen, direct bijwerken zodra de update uitkomt.

Geen patch verwachtPHP 8.1 en ouder

Maatregelen laten staan en zo snel mogelijk upgraden. Dat doen wij met je.

OnbekendWeet je het niet?

php -v zegt niets over je website. Wij zoeken uit welke PHP je sites echt bedient.

Onze aanpak

Vier stappen, van afschermen tot nacontrole.

1
Inventariseren
Elke server, site, staging-omgeving, container en beheertool met PHP. Inclusief welke versie en welk php.ini echt draait.
2
Afschermen
Session upload progress uit en multipart-verzoeken geblokkeerd op de webserver, ook rechtstreeks op het IP. Getest met curl.
3
Patchen
Elke PHP-versie bijgewerkt, ook Docker-images. PHP-FPM, workers en queues herstart, zodat niets op de oude binary blijft draaien.
4
Controleren
Logs, gewijzigde bestanden, cronjobs, SSH-sleutels en nieuwe beheerders nagelopen. Daarna ruimen we de tijdelijke blokkade op.

Veelgemaakte fouten

Wat níet helpt.

Alles wat pas draait nadat PHP het verzoek heeft ingelezen, komt te laat. Deze maatregelen geven een vals gevoel van veiligheid.

~~WordPress of plugins bijwerken~~Het lek zit in PHP, niet in je CMS.
~~Wordfence of een andere beveiligingsplugin~~Draait pas nadat PHP het verzoek al heeft verwerkt.
~~file_uploads = Off~~PHP leest het verzoek nog steeds in.
~~disable_functions~~Raakt de fout in de verwerking niet.
~~Alleen een WAF of Cloudflare~~Helpt niet als je server ook direct via zijn IP bereikbaar is.
~~Een andere PHP-versie kiezen in je panel~~Zegt niets over of die build gepatcht is.

Zo helpen we je.

Beheerklant

Je hoeft niets te doen

De tijdelijke maatregelen staan al. We patchen zodra de update er is en lopen daarna de logs na. Je hoort van ons als we iets vinden.

Inbegrepen in je beheerpakket

Geen beheercontract

Wij kijken vandaag nog mee

Een engineer brengt je PHP in kaart, schermt je server af en patcht hem. Ook bij je eigen provider, in Docker of achter een hostingpanel.

Hulp aanvragen 085 30 350 45

Vragen over PHP2Shell.

Direct een engineer aan de lijn 085 30 350 45 Ook als je nog geen klant bent

Wat is PHP2Shell precies?

De bijnaam voor twee kwetsbaarheden in PHP: CVE-2026-109618 en CVE-2026-109619, beide met een score van 9,2 op 10. Een aanvaller kan er zonder inlog eigen code mee uitvoeren op je server. Lees de volledige uitleg →

Mijn site heeft geen uploadformulier. Ben ik veilig?

Nee. PHP verwerkt het verzoek al voordat je applicatie draait, dus ook een site zonder uploadformulier is kwetsbaar.

Merk ik iets van de tijdelijke maatregelen?

Zolang de blokkade staat werken bestandsuploads niet, zoals de WordPress-mediabibliotheek en formulieren met bijlagen. Normale pagina’s, inloggen en API’s werken gewoon. Na de patch halen we de blokkade weg.

Ik zit op shared hosting. Wat nu?

Vraag je hoster welke gepatchte PHP-build jouw domein bedient. Wil je het niet zelf uitzoeken, of wil je weg bij je hoster? Dan helpen we je.

Hoe weet ik of er al iemand binnen is geweest?

Dat zie je aan de logs, gewijzigde bestanden, nieuwe cronjobs, SSH-sleutels en beheeraccounts. Wij lopen dat voor je na. Vinden we iets, dan isoleren we de server en helpen we met herstel.

Ik draai PHP 8.1 of ouder

Daarvoor komt naar verwachting geen patch. We laten de maatregelen staan en plannen samen een upgrade naar een ondersteunde versie.

Sinds 2008