PHP-lek PHP2Shell: is uw website of webshop kwetsbaar?

Wat er aan de hand is

PHP is de programmeertaal achter een groot deel van alle websites. WordPress, WooCommerce, Magento, Drupal en Joomla draaien erop. Bijna 70 procent van de websites waarvan de techniek bekend is, gebruikt PHP. Dat meldt W3Techs, aangehaald door Infosecurity Magazine.

Onderzoekers van het beveiligingsbedrijf Wiz vonden twee lekken in PHP zelf. Samen heten ze PHP2Shell: CVE-2026-109618 en CVE-2026-109619. Een CVE-nummer is het officiële registratienummer van een lek. PHP gaf beide een ernstscore van 9,2 van de 10.

Het gevaar heet in vaktaal remote code execution. Iemand kan dan op afstand en zonder inlog eigen opdrachten uitvoeren op uw webserver. Daarmee kan hij gegevens inzien, uw website aanpassen of kwaadaardige software plaatsen. Alle PHP-versies vanaf 5.4 zijn kwetsbaar voor ten minste één van de twee lekken.

De nummers lekten op 20 oktober te vroeg uit. PHP bracht de reparatie daarom eerder uit: op woensdag 21 oktober om 16:00 uur Nederlandse tijd. Veel organisaties haalden hun websites die dag uit voorzorg offline. Onder hen DigiD, MijnOverheid en de Tweede Kamer, maar ook ziekenhuizen, RTL en Tweakers.

Wordt het lek al misbruikt?

De berichten verschillen, en dat zeggen wij er eerlijk bij. Het NCSC zag op 21 oktober nog geen actief misbruik. Beveiligingsbedrijven zagen die dag wel aanvalspogingen. Een bevestigde geslaagde inbraak vonden wij in de bronnen hieronder niet. Stand van 21 oktober 2026, 21:30 uur.

1. 20 oktober · Infosecurity Magazine

   De CVE-nummers lekken uit via het forum Hacker News, vóór de geplande bekendmaking. PHP vervroegt de update naar 21 oktober.

2. 21 oktober, 09:43 uur · Sansec

   Eerste aanvalspogingen gezien (07:43 UTC), nog vóór de update.

3. 21 oktober, 12:22 uur · Tweakers

   Tweakers gaat uit voorzorg urenlang offline.

4. 21 oktober, 13:59 uur · NCSC via Rijksoverheid.nl

   Er is openbare voorbeeldcode, maar het NCSC heeft nog geen actief misbruik gesignaleerd. Elk systeem met PHP dat vanaf internet bereikbaar is, is tot de update vermoedelijk kwetsbaar.

5. 21 oktober, 15:13 uur · Rijksoverheid.nl

   Onder meer Overheid.nl, MijnOverheid en DigiD gaan uit voorzorg offline. Nog geen signalen van actief misbruik.

6. 21 oktober, 16:00 uur · Security.NL

   PHP brengt de gerepareerde versies uit: 8.5.12, 8.4.27, 8.3.36 en 8.2.35.

7. 21 oktober · Patchstack

   Na de update vooral aftastende aanvallen en nog geen hard bewijs van inbraken. Tegelijk melden hostingpartners aan Patchstack meerdere actieve misbruikincidenten.

8. 21 oktober · SecurityWeek

   Meerdere beveiligingsbedrijven zien aanvalspogingen. watchTowr ziet op dat moment geen geslaagde pogingen.

Onze conclusie: wacht niet tot er bewijs van inbraken is. Er is openbare voorbeeldcode en er wordt actief naar kwetsbare servers gezocht. Bijwerken is volgens PHP de enige volledige oplossing.

Wie risico loopt

Iedereen met een website, webshop of webapplicatie die op PHP draait en vanaf internet bereikbaar is. Het maakt niet uit hoe goed uw eigen code is: het lek zit in PHP zelf.

• WordPress en WooCommerce (draait op PHP)

  Draait op PHP. Wiz liet de aanval werken op de nieuwste WordPress. Uw hoster of bouwer moet PHP bijwerken.

• Magento (Adobe Commerce) en Shopware (draait op PHP)

  Draait op PHP. Sansec meldt een werkende aanval op Magento 2.4.9.

• Drupal en Joomla (draait op PHP)

  Draait op PHP. Wiz liet de aanval ook hierop werken.

• Maatwerk in PHP (Laravel, Symfony en andere) (draait op PHP)

  Ook kwetsbaar, want het lek zit in PHP zelf en niet in uw code. Vraag uw bouwer of ontwikkelpartij.

• Shopify en Lightspeed (geen eigen PHP)

  U draait hier geen eigen PHP-server: de leverancier beheert de servers en het bijwerken. Gebruikt u een koppeling of app die op een eigen server draait, vraag het dan aan die leverancier.

• Websitebouwers zoals Wix of Squarespace (geen eigen PHP)

  Ook hier beheert de leverancier de servers. U hoeft zelf geen PHP bij te werken.

Dit doet u nu, in zes stappen

Volg ze in deze volgorde. De eerste vier kosten u samen meestal minder dan een uur.

1. 1

   Zoek uit of uw website op PHP draait

   Gebruikt u WordPress, WooCommerce, Magento, Shopware, Drupal, Joomla of maatwerk in PHP? Dan wel. Twijfelt u? Vraag het uw bouwer of doe onze gratis check. Die herkent het platform en leest de PHP-versie als uw server die laat zien.

2. 2

   Controleer de exacte PHP-versie

   Kijk in uw hostingpaneel welke PHP-versie uw pakket gebruikt (zie de uitleg per hoster hieronder). Het paneel toont vaak alleen de reeks, bijvoorbeeld 8.3. Het volledige nummer, zoals 8.3.36, ziet u in WordPress onder Hulpmiddelen › Sitegezondheid › Info › Server. Of vraag het uw hoster.

3. 3

   Laat PHP bijwerken naar een gerepareerde versie

   Veilig is 8.5.12, 8.4.27, 8.3.36 of 8.2.35, of nieuwer in dezelfde reeks. Draait u PHP 8.1 of ouder? Die krijgt geen updates meer van het PHP-project. Laat dan overstappen naar 8.2 of nieuwer. Doe dat eerst op een kopie van uw site, zodat er niets stukgaat.

4. 4

   Vraag uw hoster om bevestiging

   Bij gedeelde hosting werkt de hoster PHP bij, niet u. Stuur de vraag hieronder, dan weet u het zeker. Kan er nog niet worden bijgewerkt? Het NCSC en Patchstack adviseren dan om de website tijdelijk offline te halen of in onderhoudsstand te zetten.

5. 5

   Werk ook uw CMS, plugins en thema's bij

   Dat lost PHP2Shell niet op, want het lek zit in PHP. Het sluit wel andere deuren. Installeer geen onofficiële "fix"-plugins voor dit lek: Patchstack waarschuwt daarvoor.

6. 6

   Laat de logboeken nakijken

   Vraag uw hoster of bouwer om de site na te lopen op signalen sinds 20 oktober. Denk aan ongebruikelijke uploads, geheugenfouten en veel serverfouten (code 500). Of nieuwe, onbekende bestanden of beheerders. Wiz noemt deze signalen. Ziet u iets vreemds, bel ons dan eerst.

Hoe controleer ik mijn PHP-versie?

Zo vindt u de PHP-instelling bij de bekendste Nederlandse hosters. Menu's veranderen soms; zoek anders in de kennisbank van uw hoster op "PHP-versie". Let op: het paneel toont vaak alleen de reeks (bijvoorbeeld 8.3). Het nummer na de tweede punt bepaalt of de reparatie erin zit, en dat regelt bij gedeelde hosting de hoster.

TransIP

Controlepaneel, Shared Hosting, kies uw domein, tabblad Geavanceerd, PHP-instellingen. Uitleg van TransIP

Hostinger

hPanel, Websites, Dashboard bij uw website, zoek in de zijbalk naar PHP-configuratie. Uitleg van Hostinger

Antagonist

Log in op Mijn Antagonist en open het beheerpaneel van uw pakket; daar staat de PHP-keuze. Ziet u DirectAdmin, volg dan de uitleg voor DirectAdmin hieronder. Of zoek in hun kennisbank op "PHP-versie".

Vimexx

Open het beheerpaneel van uw hostingpakket en zoek naar de PHP-versie (bij DirectAdmin: zie hieronder). Vimexx meldt op zijn statuspagina dat het de hele omgeving bijwerkt. Uitleg van Vimexx

Cloud86

Mijn Cloud86, de drie puntjes achter uw pakket, Details bekijken, Websites en domeinen, PHP. Controleer daarna in een privévenster of uw site nog goed werkt. Uitleg van Cloud86

Combell

Log in op het Combell-controlepaneel, open uw hostingpakket en zoek naar de PHP-instellingen. Vindt u het niet, vraag hun support naar de exacte PHP-versie.

Strato

Klantenlogin, kies uw pakket via het menu met drie puntjes, Databases en webruimte, PHP-versie instellen. Uitleg van Strato

cPanel (veel hosters)

Zoek naar MultiPHP Manager of Select PHP Version. Daar staat de PHP-versie per domein.

DirectAdmin

Onder Extra Features of Domain Setup staat Select PHP version of PHP Version Selector.

Plesk

Websites en domeinen, kies uw domein, PHP. Daar ziet en kiest u de versie.