Drupal · PHP2Shell

Is mijn Drupal-site kwetsbaar voor PHP2Shell?

Waarschijnlijk wel, tenzij je PHP al gepatcht is. Drupal was de eerste applicatie die onderzoekers met PHP2Shell overnamen, maar de bug zit in PHP, dus je Drupal-versie en modules veranderen het antwoord niet.

Laatst gecontroleerd 2026-10-22

Drupal bijwerken lost dit niet op

PHP2Shell zit in PHP zelf, onder Drupal. Onderzoekers demonstreerden remote code execution zonder authenticatie op het officiële image drupal:latest — Drupal was op 20 augustus 2026 het eerste bevestigde doelwit. Waar het om gaat is de PHP-versie die je server draait, en alleen wie de server beheert kan die bijwerken.

1. Vind je PHP-versie in Drupal

Dit toont de PHP die je site echt serveert, en dat is de versie die telt.

  1. Log in als beheerder en ga naar Rapporten → Statusrapport (/admin/reports/status).
  2. Zoek de rij PHP — die toont de versie die de webserver draait.
  3. Sites op Drupal 7 tonen het op dezelfde plek.
command line (toont de CLI-PHP — kan afwijken van de webserver)
drush status --field=php-version     # Drush (CLI PHP)
drush php:eval 'echo PHP_VERSION, PHP_EOL;'

2. Vergelijk

Plak een versie, de uitvoer van php -v, of één versie per regel voor een hele serverpark. Draait volledig in je browser.

Probeer:

De CLI en de webserver kunnen verschillende PHP-builds draaien. Controleer de versie die je webserver echt gebruikt: php-fpm -v (of php-fpm8.3 -v), of phpinfo() via die site.

BranchKwetsbaarOpgelost in
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4alleAlleen source-backport
5.4 – 7.3alleGeen fix

3. Laat het patchen

Shared of managed hosting

Je host patcht PHP. Kies de nieuwste PHP-versie in je hostingpanel en vraag hen de patch en de herstart te bevestigen. Hostinggids →

Eigen server, VPS of container

Jij (of je ontwikkelaar) patcht PHP en herstart PHP-FPM / Apache. Patchgids →

e-mail aan je hostingprovider
Onderwerp: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — patchstatus

Hallo,

Kunnen jullie bevestigen dat de PHP-runtime waarop mijn site(s) <domein>
draaien is bijgewerkt naar een release die CVE-2026-109618 en
CVE-2026-109619 oplost (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 of een
leveranciersbuild met de backport), en dat de PHP-FPM- / LSAPI-workers
daarna zijn herstart?

Als mijn account op PHP 8.1 of ouder draait: naar welke gepatchte versie
kan ik overstappen?

Met vriendelijke groet

Managed Drupal-hosting

Drupal-platforms zoals Acquia en Pantheon beheren PHP voor je. We hebben hun patchstatus niet gecontroleerd — bekijk hun statuspagina’s of support, of stuur het bericht hierboven.

Zelf gehost met Docker? Bouw opnieuw op een gepatcht php-base-image of haal het opnieuw gebouwde drupal-image op en controleer de PHP-versie in de container voordat je uitrolt.

4. Na het patchen

  • Controleer de PHP-versie in Drupal opnieuw — die hoort een gepatchte release te tonen (of laat je host een gebackporte build bevestigen).
  • Was de site een tijd blootgesteld, wijzig dan beheerderswachtwoorden en API-sleutels in de siteconfiguratie, en zoek naar onbekende beheerders of nieuwe PHP-bestanden. Detectiegids →

Vragen

Is mijn Drupal-site kwetsbaar voor PHP2Shell?+

Als hij draait op PHP ouder dan 8.5.12, 8.4.27, 8.3.36 of 8.2.35 (en de host geen gepatcht pakket heeft geïnstalleerd): ja. De versie van Drupal, het thema en de extensies doen er niet toe — de bug zit in PHP.

Lost Drupal bijwerken PHP2Shell op?+

Nee. Updates van Drupal wijzigen de applicatie, niet de PHP-runtime eronder. Houd Drupal wel bijgewerkt, maar de oplossing is een PHP-update door wie je server beheert.

Heeft een aanvaller een beheerdersaccount nodig?+

Nee. De gedemonstreerde aanvallen werken vóór authenticatie: geen login, geen speciale plugin of module, alleen HTTP-requests naar de site.

Is er een Drupal-securityadvisory voor PHP2Shell?+

PHP2Shell is geen kwetsbaarheid in Drupal, dus een Drupal-core-release lost het niet op. Volg de PHP-advisories en je hosting- of OS-leverancier voor de runtime-update.

Maakt Drupal 7 verschil?+

Niet voor deze bug, maar Drupal 7-sites draaien vaak op oude PHP (7.4 of ouder), die geen nieuwe PHP-release krijgt. Die sites hebben een PHP-migratie nodig — en daardoor meestal ook een Drupal-upgrade.

Gerelateerd