Tijdlijn

Tijdlijn van de PHP2Shell-disclosure

Twee jaar van de eerste aanwijzing tot de fix — en een laatste etmaal waarin het embargo op meerdere plekken lekte. Alle tijden in UTC.

Laatst gecontroleerd 2026-10-22

  1. 2024

    Door OSTIF georganiseerde Quarkslab-audit van PHP. Het OOM-probleem valt voor het eerst op tijdens het oplossen van een andere melding.

    Bron: PHP Foundation

  2. 2026-05

    De PHP Foundation richt haar Ecosystem Security Team op.

    Bron: PHP Foundation

  3. 2026-07

    Alexandre Daubois komt bij de Foundation; Calif start zijn audit (30 juli) binnen Patch the Planet.

    Bron: PHP Foundation

  4. 2026-08-11

    Calif en OpenAI melden onafhankelijk van elkaar dezelfde OOM-oorzaak.

    Bron: PHP Foundation

  5. 2026-08-19

    Wiz Research vindt zijn eerste PHP-bug; RCE zonder authenticatie op Drupal (20 aug) en WordPress (21 aug).

    Bron: Wiz

  6. 2026-08-24

    Wiz meldt extra aanvalsvectoren aan het PHP-securityteam.

    Bron: Wiz / PHP Foundation

  7. 2026-09-09

    Daniel Scherzer sluit aan bij het securitywerk van de Foundation.

    Bron: PHP Foundation

  8. 2026-09-18

    OpenAI meldt verdere vectoren.

    Bron: PHP Foundation

  9. 2026-09-21

    PHP bevestigt de meldingen van Wiz en start een gecoördineerde fix.

    Bron: Wiz

  10. 2026-10-20 15:00 UTC

    CVE-ID’s gaan rond op fora en sociale media, met een onjuiste CVSS van 10.0.

    Bron: PHP Foundation

  11. 2026-10-20 19:30 UTC

    PHP publiceert zijn vooraankondiging eerder dan gepland.

    Bron: PHP Foundation

  12. 2026-10-20 ~20:00 UTC

    Calif publiceert per ongeluk een video van zijn proof of concept.

    Bron: PHP Foundation

  13. 2026-10-20 23:00 UTC

    Mitigatieadvies gaat naar enkele aanbieders van vitale infrastructuur, en is mogelijk uitgelekt.

    Bron: PHP Foundation

  14. 2026-10-21 03:02 UTC

    Cloudflare-WAF-regels gaan live voor alle abonnementen, ook Free.

    Bron: Cloudflare

  15. 2026-10-21 07:41 UTC

    Chainguard levert gepatchte images en doorbreekt het embargo met meer dan zes uur.

    Bron: PHP Foundation

  16. 2026-10-21 11:51 UTC

    BambooHR haalt zijn dienst uit voorzorg offline (VS, Canada, Ierland).

    Bron: BambooHR status page

  17. 2026-10-21 (CEST)

    Nederlandse overheids- en onderwijssites, waaronder DigiD en MijnOverheid, gaan uit voorzorg offline.

    Bron: NOS

  18. 2026-10-21 14:00 UTC

    Gecoördineerde release: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35, plus source-backports voor 7.4, 8.0, 8.1. Oorspronkelijk gepland voor 22 okt.

    Bron: php.net / PHP Foundation

  19. 2026-10-21 15:03 UTC

    BambooHR meldt dat de fix is toegepast en dat er wordt getest.

    Bron: BambooHR status page

Waarom de release een dag werd vervroegd

De gecoördineerde release stond gepland voor 22 oktober, 14:00 UTC. Vanaf de middag van 20 oktober gingen de CVE-ID’s publiek rond (met een onjuiste score van 10.0), werd per ongeluk een proof-of-concept-video gepubliceerd en is mitigatieadvies aan aanbieders van vitale infrastructuur mogelijk uitgelekt. Op de ochtend van 21 oktober leverde Chainguard gepatchte images meer dan zes uur te vroeg. PHP bracht die dag om 14:00 UTC uit.

De PHP Foundation meldt dat haar securityteam sinds 1 juli 15 CVE’s had gepubliceerd en in dezelfde periode meer dan 100 ongeldige, dubbele of niet-reproduceerbare meldingen had verwerkt.

Wie deed wat

Calif

Audit binnen “Patch the Planet” vanaf 30 juli; meldde de OOM-oorzaak op 11 augustus, onafhankelijk van OpenAI.

OpenAI Codex Security

Meldde dezelfde oorzaak op 11 augustus en verdere vectoren op 18 september.

Wiz Research

Vond vanaf 19 augustus extra aanvalspaden, demonstreerde pre-auth RCE op Drupal, WordPress en Joomla, meldde op 24 augustus.

PHP-securityteam

Bouwde de fix (zachte/harde OOM-limieten in plaats van longjmp) en releases voor 8.2–8.5, plus source-backports voor 7.4–8.1.

PHP Foundation

Financiert het in mei 2026 opgerichte Ecosystem Security Team; publiceerde de evaluatie van de disclosure.

Releasetijd in jouw tijdzone

TijdzonePatch uitgebracht
UTC14:00
VS Pacific (PDT, UTC−7)07:00
VS Central (CDT, UTC−5)09:00
VS Eastern (EDT, UTC−4)10:00
VK (BST, UTC+1)15:00
Midden-Europa (CEST, UTC+2)16:00
India (IST, UTC+5:30)19:30
China / HK / SG (UTC+8)22:00
Japan (JST, UTC+9)23:00
Sydney (AEDT, UTC+11)01:00

Gerelateerd