PHP2Shell: Twee kritieke PHP-fouten veroorzaken wereldwijde sitestillegroting

PHP, de scripttaal die een groot deel van de server-side code van het web drijft, werd in oktober 2026 getroffen door twee kritieke beveiligingslekken. De bugs, gezamenlijk bekend onder de bijnaam "PHP2Shell" en geregistreerd als CVE-2026-109618 en CVE-2026-109619, stellen een aanvaller zonder account of wachtwoord in staat willekeurige code uit te voeren op een aangetaste webserver.

Wat de kwetsbaarheden doen

Volgens het beveiligingsbedrijf watchTowr treedt CVE-2026-109618 op wanneer PHP halverwege het instellen van een inkomend verzoek bijna geen geheugen meer heeft, wat ertoe leidt dat interne verzoekgegevens slechts gedeeltelijk worden geïnitialiseerd; de opruimroutine van PHP behandelt die ongeldige gegevens dan ten onrechte als geldig. CVE-2026-109619 omvat een interne toestand gekoppeld aan één verzoek die overblijft nadat het geheugen waarop het wijst al is vrijgegeven, zodat een later verzoek afgehandeld door hetzelfde worker-proces die verouderde toestand kan gebruiken voordat normale initialisatie het opnieuw instelt.

Het onderzoeksbedrijf Wiz, dat de fouten onderzocht, vertelde Help Net Security dat de problemen jarenlang onopgemerkt waren gebleven en behoren tot de ernstigste die ooit in de taal zijn gevonden. watchTowr stelde dat de bugs naast volledige remote code execution ook PHP worker-processen kunnen laten crashen, willekeurig lezen van bestanden mogelijk maken of servergeheugen kunnen lekken.

Wie heeft het gevonden en wanneer

De twee fouten werden gerapporteerd via aparte onderzoeksinspanningen. De advisory van watchTowr schrijft de beveiligingsonderzoeksteam van Calif de ontdekking toe, terwijl de berichtgeving van Help Net Security de identificatie en openbaarmaking aan onderzoekers van Wiz toeschrijft. De openbaarmakingtijdlijn was ongebruikelijk: gegevens die vertrouwelijk moesten blijven, lekten openbaar op 20 oktober 2026, en watchTowr bevestigde dat de gelekte informatie authentiek was. De PHP-onderhouders reageerden door patches één dag voor de oorspronkelijk geplande 22 oktober op 14:00 UTC op 21 oktober 2026 vrij te geven.

Bereik: wie voert kwetsbare PHP uit

PHP blijft een van de meest gebruikte server-side talen op het web, en de fouten kunnen elk systeem beïnvloeden dat inkomende HTTP-verzoeken ermee verwerkt. Aangetaste setups omvatten PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed, volgens watchTowr, wat betekent dat de bug zich in de serverlaag zelf bevindt in plaats van in één enkele toepassing.

Omdat PHP 7.4, 8.0 en 8.1 niet langer officieel worden ondersteund, zegt watchTowr dat er geen patch van het PHP-kernproject is voor sites die nog steeds op die takken draaien, hoewel backports van Linux-distributie of long-term-support-leverancier mogelijk beschikbaar zijn als tussenoplossing; anders moeten die installaties naar een ondersteunde tak gaan. PHP 7.3 en ouder hebben helemaal geen fix, volgens watchTowr. De advisory van PHP stelt dat geen configuratieverandering de kwetsbaarheden volledig sluit zonder de software bij te werken.

Gevolgen en exploitatie

Help Net Security meldde dat een honeypot-netwerk van Amazon uitbuiting van pogingen op 17 oktober 2026 detecteerde – vier dagen voor de openbare patch – wat suggereert dat sommige aanvallers vroege toegang tot exploitgegevens hadden. WatchTowr zei dat zijn eigen "Attacker Eye" honeypot-netwerk na de patch-release op 21 oktober actieve uitbuiting in het wild waarnam.

Content management systems op basis van PHP, waaronder WordPress, Drupal en Joomla, samen met op Laravel gebaseerde toepassingen en e-commerceplatforms, bevinden zich allemaal in de aangetaste voetafdruk omdat ze op de kwetsbare PHP-engine draaien.

Toen patching aan de gang was, werden overheidsinstanties, onlinefora, gamingplatforms en enkele infrastructuur-gerelateerde sites uit voorzorg offline gehaald terwijl operators fixes toepasten, volgens de samenvatting op de Wikipedia-pagina van PHP2Shell. Het Nationale Cyber Security Centre van het Verenigd Koninkrijk drong er bij organisaties op aan die niet onmiddellijk konden patchen om in plaats daarvan kwetsbare systemen offline te halen, meldde Help Net Security.

Ernstigheidsclassificatie en wat site-operators moeten doen

De developers van PHP zelf beoordeelden beide fouten met 9,2 van 10 op de CVSS v4.0-schaal, een "kritieke" score, volgens de advisory van watchTowr. Het duidelijke herstelpad, volgens zowel de advisory van PHP als watchTowr, is bijwerken naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35, afhankelijk van welke tak een server uitvoert; sites op 7.4, 8.0 of 8.1 moeten een distributie-backport gebruiken of naar een ondersteunde tak gaan, terwijl servers op 7.3 of ouder geen beschikbare fix hebben en moeten worden bijgewerkt.