<?php Onafhankelijke PHP-beveiligingscontrole
Is uw PHP kwetsbaar voor PHP2Shell?
Twee kritieke fouten in PHP zelf maken remote code execution mogelijk. Ze zijn op 21 oktober 2026 verholpen. Controleer wat een website prijsgeeft over de PHP-versie, of plak een versiestring — en zie precies wat u moet doen.
- Passief: één gewoon verzoek, geen exploit
- Gratis, zonder registratie, zonder advertenties
- Gebaseerd op php.net en de officiële advisories
2Versie controleren
Wordt in uw browser beoordeeld — er wordt niets naar ons verstuurd. Eén versie per regel, maximaal 20.
01 · php.net · 2026-10-23
Gepatchte versies
| Branch | Opgelost in | Status van de branch |
|---|---|---|
| PHP 8.5 | 8.5.12 | Actief ondersteund |
| PHP 8.4 | 8.4.27 | Actief ondersteund |
| PHP 8.3 | 8.3.36 | Alleen beveiligingsupdates |
| PHP 8.2 | 8.2.35 | Alleen beveiligingsupdates — end of life op 31 dec 2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | Geen officiële release | End of life — geen release van het PHP-project |
Bron: beveiligingsadvies van php.net, 21 oktober 2026. Laatst gecontroleerd 2026-10-23.
Wat is PHP2Shell?
PHP2Shell is de naam die onderzoekers gaven aan twee kwetsbaarheden in de PHP-engine: CVE-2026-109618 (geheugencorruptie wanneer PHP zonder geheugen komt te zitten tijdens het parsen van een verzoek) en CVE-2026-109619 (interne toestand die op dezelfde worker van het ene verzoek naar het volgende blijft bestaan). Beide hebben een CVSS v4.0-score van 9.2.
Een aanvaller zonder authenticatie kan code uitvoeren op de server of het geheugen van het PHP-proces uitlezen — inclusief wachtwoorden, sessietokens, API-sleutels en certificaten van andere verzoeken — zonder dat er ook maar enige code wordt uitgevoerd. Volgens php.net treffen ze PHP dat webverzoeken afhandelt: PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. De onderzoekers demonstreerden aanvallen op WordPress, Drupal en Joomla, maar er is geen specifieke applicatie nodig: zelfs een eenvoudige “Hello World”-pagina op een kwetsbare PHP is blootgesteld.
Wat u nu moet doen
- Bijwerken naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35 — of het gepatchte pakket van uw distributie.
- Herstarten van elk PHP-proces: PHP-FPM, Apache, queue workers, containers. Pas dan is een update actief.
- Elke PHP controleren op de server — panelen installeren vaak meerdere versies naast elkaar.
02 · shell
Controleren op de server zelf
Een websitecontrole ziet alleen wat de server wil prijsgeven. Op de server geven deze commando’s het echte antwoord:
# versie van de standaard-PHP
php -v
# andere PHP-versies geïnstalleerd door panelen of pakketten
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# instellingen die met de gedeeltelijke mitigaties te maken hebben
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# wat uw site aan bezoekers prijsgeeft
curl -sI https://uw-site.nl/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Veelgestelde vragen
Welke PHP-versies zijn getroffen?
Elke versie vóór 8.5.12, 8.4.27, 8.3.36 en 8.2.35 in de ondersteunde branches. PHP 8.1 en ouder zijn end of life en krijgen geen release van het PHP-project; beschouw ze als kwetsbaar, tenzij uw leverancier een gebackporte oplossing bevestigt.
Mijn site toont geen PHP-versie. Ben ik veilig?
Niet per se. De versie verbergen (expose_php = Off) is een goede gewoonte, maar patcht niets. Controleer op de server met php -v of vraag het uw provider.
De checker toont een oude versie, maar mijn host zegt dat die gepatcht is. Wie heeft gelijk?
Mogelijk allebei. Linuxdistributies zoals Debian, Ubuntu en RHEL backporten beveiligingsoplossingen vaak zonder het versienummer te wijzigen. Vraag uw host welke pakketbuild is geïnstalleerd en of de changelog CVE-2026-109618 en CVE-2026-109619 vermeldt.
Zijn WordPress, Laravel of mijn CMS getroffen?
De fouten zitten in PHP zelf, dus elke applicatie die op een kwetsbare PHP draait, is blootgesteld. De onderzoekers demonstreerden aanvallen zonder authenticatie op WordPress, Drupal en Joomla, maar dat waren slechts voorbeelden — zelfs een eenvoudige “Hello World”-pagina volstaat. WordPress of plugins bijwerken lost het niet op; PHP moet worden bijgewerkt.
Kunnen gegevens uitlekken, ook als er geen code is uitgevoerd?
Ja. CVE-2026-109619 kan het geheugen van het PHP-proces blootleggen — wachtwoorden, sessietokens, API-sleutels en certificaten van andere verzoeken — zonder dat de aanvaller code uitvoert. Zulke lekken laten geen bestanden achter en zijn moeilijk te detecteren; wijzig daarom de geheimen van elke site die een kwetsbare versie op internet heeft gedraaid.