PHP2Shell: wat het is en wat u moet doen
PHP2Shell is de naam voor twee ernstige kwetsbaarheden in PHP zelf, de taal achter veel websites. Een aanvaller zonder account kan ze gebruiken om code uit te voeren op uw webserver of gegevens uit het geheugen te lezen. Een PHP-update verhelpt beide.
Gecontroleerd op . Checkerregels van . Nederlandse samenvatting van de Engelse handleidingen.
Wat is PHP2Shell?
Het PHP-project publiceerde op 21 oktober 2026 een beveiligingsadvies over twee kritieke kwetsbaarheden. Ze zitten in PHP, niet in de code van uw site. Elke kwetsbaarheid heeft een eigen CVE-nummer:
- CVE-2026-109618: code uitvoeren via een toestand die PHP beschadigd achterlaat als het geheugen opraakt.
- CVE-2026-109619: code uitvoeren via een verouderde toestand die het ene verzoek achterlaat voor het volgende (use-after-free).
Volgens php.net loopt elke PHP-installatie die webverzoeken afhandelt risico, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed.
Een update van WordPress, een plug-in, een thema of een andere app verandert PHP niet. Uw hostingprovider of serverbeheerder moet de PHP-update installeren.
Versies met de fix
Uw tak (branch) bestaat uit de eerste twee getallen van uw PHP-versie. U hebt de versie met de fix voor uw tak nodig, of een nieuwere. De vier versies verschenen op 21 oktober 2026 en verhelpen beide kwetsbaarheden.
| Tak | Versie met fix | Status |
|---|---|---|
| 8.5 | 8.5.12 | Ondersteund. |
| 8.4 | 8.4.27 | Ondersteund. |
| 8.3 | 8.3.36 | Ondersteund. |
| 8.2 | 8.2.35 | Ondersteund tot 31 december 2026. Plan de overstap naar een nieuwere tak. |
| 8.1 | geen | End-of-life. Zie hieronder. |
| 8.0 | geen | End-of-life. Zie hieronder. |
| 7.4 | geen | End-of-life. Zie hieronder. |
Sommige distributies behouden het oude nummer
Linuxdistributies en hostingproviders publiceren hun eigen pakketten met de fix. Sommige, zoals Ubuntu en de standaard-PHP van RHEL 9, voegen de fix toe en behouden het oude PHP-nummer. Zo verhelpt Ubuntu 24.04 PHP 8.3.6 met pakket 8.3.6-0ubuntu0.24.04.13, en php -v toont nog steeds 8.3.6.
Een laag nummer betekent niet altijd dat de fix ontbreekt.
Vergelijk de pakketversie, niet alleen het PHP-nummer. De pagina Fixed PHP packages on Linux (Engels) geeft per distributie het pakket met de fix.
Uw PHP-versie bekijken
Bij shared hosting kijkt u in het hostingpaneel of vraagt u het uw hostingprovider. WordPress, Drupal en vergelijkbare apps tonen de PHP-versie vaak in hun beheeromgeving.
Op uw eigen server toont deze opdracht de PHP-versie van de opdrachtregel. De website kan een andere PHP gebruiken, bijvoorbeeld PHP-FPM.
php -vWilt u de PHP zien die de website gebruikt? Maak dan in de webroot een bestand met een willekeurige naam die eindigt op .php, bijvoorbeeld info-7f3k9q.php, met deze inhoud:
<?php phpinfo();Open het één keer in de browser en lees de versie bovenaan. Verwijder het bestand meteen: het toont veel privégegevens.
Wat u moet doen
- Werk PHP bij. Installeer 8.5.12, 8.4.27, 8.3.36 of 8.2.35, of een nieuwere versie in dezelfde tak. Een pakket met de fix van uw Linuxdistributie of hostingprovider is ook goed.
- Herstart PHP. Herstart Apache, elke PHP-FPM-pool en langlopende PHP-processen. Oude processen houden de oude code tot ze stoppen.
- Controleer opnieuw. Bekijk de versie van de PHP die de website gebruikt, niet alleen die van de opdrachtregel.
Opdrachten voor uw eigen server
De opdrachten zijn dezelfde als in de Engelse handleidingen, met Engelse commentaarregels.
Debian en Ubuntu (zet uw tak in de servicenaam):
# show installed PHP packages and versions
dpkg -l | grep -E '^ii +(php[0-9.]*-(fpm|cgi|common)|libapache2-mod-php)'
# install the update
sudo apt update && sudo apt upgrade
# restart (use your branch, for example php8.3-fpm)
sudo systemctl restart php8.3-fpm
sudo systemctl restart apache2RHEL, AlmaLinux en Rocky Linux:
# show the installed version (php8.4-common for PHP 8.4 on version 10)
rpm -q php-common
# show which module stream is enabled (marked [e])
dnf module list php
# install the update
sudo dnf upgrade 'php*'
# restart
sudo systemctl restart php-fpm
sudo systemctl restart httpdAlpine, containers en hostingpanelen: zie Linux en Platforms (Engels).
Ons advies Haal bij een container het bijgewerkte image op, bouw uw eigen images daarop opnieuw en maak de containers opnieuw aan. Een herstart alleen verandert de PHP in een oud image niet.
Bij shared hosting
U kunt PHP niet zelf bijwerken; uw hostingprovider wel. Kopieer dit bericht, vul uw domein in en stuur het naar de support van uw provider:
Hallo,
Kunt u bevestigen dat de PHP op mijn hosting de fixes voor PHP2Shell (CVE-2026-109618 en CVE-2026-109619) bevat? Domein: example.com
Welke exacte PHP-versie en build draait er voor mijn domein? Is dat 8.5.12, 8.4.27, 8.3.36 of 8.2.35 of nieuwer? Of is het een build waarin de fix is teruggezet (backport)?
Zijn PHP-FPM, de webserver en de andere PHP-processen na de update herstart?
Bedankt.
PHP 7.4, 8.0 en 8.1
Het PHP-project brengt voor deze takken geen nieuwe versies meer uit. Het beveiligingsteam publiceerde alleen minimale broncodepatches. Voor oudere takken publiceerde het PHP-project niets. Vraag uw leverancier om een build met de fix, bouw PHP zelf met deze patches, of stap over naar een ondersteunde tak. Zie PHP 7.4, 8.0 en 8.1 (Engels).
Uw site controleren
De checker van php2shell.fyi leest wat uw site openbaar toont en somt de PHP-signalen op die hij vindt. Een pakket met de fix achter een oud PHP-nummer kan hij niet herkennen. Bevestig het resultaat op de server of bij uw hostingprovider.
De checker, het resultaat en de uitgebreide handleidingen zijn in het Engels.
Officieel advies in het Nederlands
Het Nationaal Cyber Security Centrum (NCSC) publiceerde beveiligingsadvies NCSC-2026-0443: Kwetsbaarheden verholpen in PHP.