Joomla · PHP2Shell

Is mijn Joomla-site kwetsbaar voor PHP2Shell?

Waarschijnlijk wel, tenzij je PHP al gepatcht is. Joomla was een van de drie publieke demodoelwitten, maar de bug zit in PHP — je Joomla-versie en extensies veranderen het antwoord niet.

Laatst gecontroleerd 2026-10-22

Joomla bijwerken lost dit niet op

PHP2Shell zit in PHP zelf, onder Joomla. Onderzoekers demonstreerden remote code execution zonder authenticatie op het officiële image joomla:latest. Waar het om gaat is de PHP-versie die je server draait, en alleen wie de server beheert kan die bijwerken.

1. Vind je PHP-versie in Joomla

Dit toont de PHP die je site echt serveert, en dat is de versie die telt.

  1. Log in op het beheerpaneel (Administrator).
  2. Open Systeem → Systeeminformatie.
  3. Lees op het tabblad Systeeminformatie de PHP-versie af.
command line (toont de CLI-PHP — kan afwijken van de webserver)
php -v
php cli/joomla.php --version   # Joomla 4/5 console (shows the Joomla version)

2. Vergelijk

Plak een versie, de uitvoer van php -v, of één versie per regel voor een hele serverpark. Draait volledig in je browser.

Probeer:

De CLI en de webserver kunnen verschillende PHP-builds draaien. Controleer de versie die je webserver echt gebruikt: php-fpm -v (of php-fpm8.3 -v), of phpinfo() via die site.

BranchKwetsbaarOpgelost in
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4alleAlleen source-backport
5.4 – 7.3alleGeen fix

3. Laat het patchen

Shared of managed hosting

Je host patcht PHP. Kies de nieuwste PHP-versie in je hostingpanel en vraag hen de patch en de herstart te bevestigen. Hostinggids →

Eigen server, VPS of container

Jij (of je ontwikkelaar) patcht PHP en herstart PHP-FPM / Apache. Patchgids →

e-mail aan je hostingprovider
Onderwerp: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — patchstatus

Hallo,

Kunnen jullie bevestigen dat de PHP-runtime waarop mijn site(s) <domein>
draaien is bijgewerkt naar een release die CVE-2026-109618 en
CVE-2026-109619 oplost (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 of een
leveranciersbuild met de backport), en dat de PHP-FPM- / LSAPI-workers
daarna zijn herstart?

Als mijn account op PHP 8.1 of ouder draait: naar welke gepatchte versie
kan ik overstappen?

Met vriendelijke groet

Managed Joomla-hosting

De meeste Joomla-sites draaien op shared hosting met cPanel, Plesk of DirectAdmin. Kies in het panel de nieuwste PHP-versie en vraag de host de gepatchte build te bevestigen. We hebben de status van individuele hosts niet gecontroleerd.

4. Na het patchen

  • Controleer de PHP-versie in Joomla opnieuw — die hoort een gepatchte release te tonen (of laat je host een gebackporte build bevestigen).
  • Was de site een tijd blootgesteld, wijzig dan beheerderswachtwoorden en API-sleutels in de siteconfiguratie, en zoek naar onbekende beheerders of nieuwe PHP-bestanden. Detectiegids →

Vragen

Is mijn Joomla-site kwetsbaar voor PHP2Shell?+

Als hij draait op PHP ouder dan 8.5.12, 8.4.27, 8.3.36 of 8.2.35 (en de host geen gepatcht pakket heeft geïnstalleerd): ja. De versie van Joomla, het thema en de extensies doen er niet toe — de bug zit in PHP.

Lost Joomla bijwerken PHP2Shell op?+

Nee. Updates van Joomla wijzigen de applicatie, niet de PHP-runtime eronder. Houd Joomla wel bijgewerkt, maar de oplossing is een PHP-update door wie je server beheert.

Heeft een aanvaller een beheerdersaccount nodig?+

Nee. De gedemonstreerde aanvallen werken vóór authenticatie: geen login, geen speciale plugin of module, alleen HTTP-requests naar de site.

Beschermt een Joomla-beveiligingsextensie mij?+

Nee. Extensies draaien binnen Joomla, nadat PHP de request al heeft geparst — de kwetsbare code draait daarvoor. Een WAF vóór de site helpt; de PHP-update lost het op.

Ik zit nog op Joomla 3. Wat nu?+

Joomla 3-sites draaien vaak op PHP 7.4 of 8.0, die geen nieuwe PHP-release krijgen. Vraag je host als noodoplossing om een gebackporte build en plan de overstap naar Joomla 5 op PHP 8.4 of 8.5.

Gerelateerd