Op 20 oktober 2026 kwamen twee kritieke kwetsbaarheden in PHP naar buiten, samen bekend als PHP2Shell. PHP draait achter een groot deel van het internet, dus ook achter veel websites en webshops. Beide kwetsbaarheden scoren 9,2 op de CVSS v4.0-schaal voor ernst.
Het nieuws lekte uit
Het PHP-team wist al een tijd van de kwetsbaarheden en werkte in het geheim aan updates. Die stonden gepland voor 22 oktober. Op 20 oktober lekte de informatie uit. De eerste aanvalspogingen volgden snel. PHP bracht de updates daarom een dag eerder uit, op 21 oktober.
Wat is er dan zo erg aan PHP2Shell? Een aanvaller kan met een speciaal gemaakt bezoek aan een website zelf code op de server uitvoeren. Een aanvaller kan bijvoorbeeld gegevens stelen, de website aanpassen of de server misbruiken om cryptomunten te minen. Hoe ver de aanvaller komt, hangt af van de situatie. Inloggen is niet nodig.
Het risico was bekend, toen was het raak
Deze lekken zitten vermoedelijk al sinds PHP 5.4 in de software, dus sinds 2012. Ook de “gouwe ouwe” websites die al jaren stilletjes draaien, kunnen daardoor kwetsbaar zijn als ze nog op een getroffen PHP-versie draaien. Dat verouderde software risico’s heeft, wist iedereen. Maar het bleef een ver-van-mijn-bedshow. Tot oktober 2026.
De reguliere beveiligingsupdates kwamen uit voor PHP 8.2, 8.3, 8.4 en 8.5. Voor oudere versies kwam er geen officiële update vanuit het PHP-project. Soms is een aangepaste patch mogelijk, vaak is een overstap naar een nieuwere PHP-versie nodig en dat vraagt om werk. Softwarebibliotheken, frameworks en andere bouwstenen van een website werken namelijk niet zomaar op een PHP-versie die jaren later is uitgebracht.
Snel schakelen
Zodra het nieuws op 20 oktober naar buiten kwam, hebben we uit onze administratie een overzicht gemaakt van alle websites die bij ons gehost worden, gesorteerd op PHP-versie. Daarna hebben we op drie manieren gehandeld:
- Mail. Alle opdrachtgevers met een niet-ondersteunde PHP-versie kregen dezelfde dag bericht. Wat is er aan de hand, wat betekent het voor jouw site en welke keuzes heb je?
- Bellen. Met opdrachtgevers met wie we afspraken hebben, zoals een onderhoudscontract of samenwerkingsovereenkomst, hebben we persoonlijk gebeld.
- Advies. Nog niet alle feiten waren bekend. We bespraken wat we wisten en gaven ook ons advies: wat zouden wij doen?
Op 21 oktober kwamen de updates uit. Diezelfde avond hebben we alle websites op een ondersteunde PHP-versie gepatcht. Websites op PHP 8.0 en 8.1 hebben we op 22 oktober overgezet naar een veilige versie. Met opdrachtgevers op een oudere PHP-versie hebben we contact opgenomen over de beste volgende stap.
De stekker eruit?
Tussen het uitlekken op 20 oktober en de updates op 21 oktober zat ruim een dag. In die tijd waren de kwetsbaarheden bekend, maar de updates er nog niet. Dan zit je met een lastige vraag: zet je de server uit? Letterlijk: de stekker eruit, tot de updates er zijn.
Doe je dat als ondernemer? Doet je concurrent dat ook? Moet jij dan ook online blijven?
Het risico was serieus en daar hebben wij ons advies op afgegeven. Maar in gevallen als het een ondernemersbeslissing om wel of niet in de lucht te blijven hiervoor zijn er verschillende onderneming specifieke factoren van toepassing.
Waarom onderhoud loont
Opdrachtgevers met een onderhoudscontract of samenwerkingsovereenkomst draaiden al op een recente PHP-versie. Zij kregen de update automatisch zodra die uit was. Daar zit het verschil. Bij een site die niet wordt bijgehouden, begint een lek als dit met een achterstand van jaren. Bij een site die wel wordt bijgehouden, begint het met een update.
En nu?
AI maakt het steeds makkelijker om kwetsbaarheden te vinden, maar diezelfde techniek kan ook aanvallers helpen. Initiatieven als Patch the Planet van OpenAI en Trail of Bits zetten AI in om kwetsbaarheden in open-sourcesoftware op te sporen en te helpen verhelpen. Bij PHP2Shell werkten meerdere onderzoekers en organisaties aan het onderzoek en de oplossing. Dat is goed nieuws. Tegelijkertijd kunnen kwetsbaarheden hierdoor sneller aan het licht komen, en aanvallers gebruiken AI ook. PHP2Shell zal niet het laatste lek zijn.
En jouw website?
Heb je een onderhoudscontract? Dan was PHP2Shell voor jou een simpele update, maar wel een met een verhaal. Heb je dat niet? Dan is dit een goed moment om te kijken hoe het onderhoud van je website geregeld is.
Hebben wij je website niet gemaakt? Vraag je je af op welke PHP-versie hij draait en wie dat onderhoudt? Bel of mail ons gerust. We kijken graag mee.
De wereld verandert. De ene transitie volgt de volgende op. Sneller dan ooit. Waarbij alles draait om mensen. Door mensen, met mensen, voor mensen. Gestaafd op data. ondersteund door digitalisering. INOVA levert meer resultaat uit marketing en data. We werken volgens de unieke INOVA-roadmap. Onze samenwerking maakt jou en ons onderscheidend. Want hey… we are you.