CVSS

PHP2Shell CVSS: 9.2, niet 10.0

Beide PHP2Shell-CVE’s scoren officieel CVSS 4.0 9.2 — Kritiek. De 10.0 die je misschien zag, kwam van het lek de dag vóór de release.

Laatst gecontroleerd 2026-10-22

ScoreHerkomstStatus
9.2PHP-securityadvisories GHSA-w8hw-w9fx-j79w en GHSA-6wmf-4rv5-p3rp (CVSS 4.0), overgenomen door de PHP Foundation, watchTowr en de meeste leveranciers.Officieel
10.0CVE-ID’s die vanaf ~15:00 UTC op 20 okt rondgingen op fora en sociale media, voordat de advisories openbaar waren. Overgenomen in vroege nieuwsberichten.Onjuist

De vector, metriek voor metriek

Beide CVE’s: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

MetriekBetekenis hierEffect

AV:N

Attack Vector: Network

Bereikbaar via internet met gewone HTTP-requests.Verhoogt score

AC:H

Attack Complexity: High

De exploit moet worden afgestemd op de geheugenindeling van elk doelwit; het is geen kant-en-klare request.Verlaagt score

AT:P

Attack Requirements: Present

Succes hangt af van de inrichting (SAPI, limieten, hergebruik van workers) waar de aanvaller geen invloed op heeft.Verlaagt score

PR:N

Privileges Required: None

Geen account, geen login.Verhoogt score

UI:N

User Interaction: None

Niemand hoeft ergens op te klikken.Verhoogt score

VC:H / VI:H / VA:H

Impact op kwetsbaar systeem: High

Volledig verlies van vertrouwelijkheid, integriteit en beschikbaarheid op de PHP-server.Verhoogt score

SC:N / SI:N / SA:N

Impact op vervolgsystemen: None

De score telt doorstoten naar andere systemen niet mee — in de praktijk maken gestolen inloggegevens dat vaak wel mogelijk.Verlaagt score

Waarom het geen 10 is

Twee metrieken trekken de score omlaag: AC:H (de exploit moet via herhaalde pogingen worden aangepast aan de geheugenindeling van elk doelwit) en AT:P (succes hangt af van hoe PHP is ingericht — SAPI, geheugenlimieten, hergebruik van workers).

Alles waar een aanvaller het meest om geeft, staat op de slechtste stand: bereikbaar via het netwerk, geen rechten, geen gebruikersinteractie, volledige impact op de server.

Wat het in de praktijk betekent

“Moeilijker te misbruiken” is een verkeersdrempel voor bekwame aanvallers, en het embargo lekte een dag te vroeg. Behandel het als een 10: eerst patchen, later over de score discussiëren.

Vragen

Wat is de officiële CVSS-score van PHP2Shell?+

9.2 (Kritiek) onder CVSS 4.0, voor zowel CVE-2026-109618 als CVE-2026-109619, zoals gepubliceerd in de PHP-securityadvisories.

Waarom meldden sommige sites CVSS 10.0?+

De CVE-ID’s lekten op 20 oktober 2026 uit, ongeveer een dag vóór de gecoördineerde release, samen met een onjuiste score van 10.0. Artikelen op basis van het lek namen die over. De PHP Foundation bevestigde later dat 10.0 fout was.

Betekent 9.2 in plaats van 10.0 dat het minder urgent is?+

Nee. Het verschil komt doordat de exploit aan elk doelwit moet worden aangepast (hoge complexiteit, aanvalsvereisten aanwezig). Het blijft remote code execution zonder authenticatie via het netwerk, met gemelde eerste aanvallen. Patch met de hoogste prioriteit.

Gerelateerd