In gewone taal

Wat is PHP2Shell?

PHP2Shell is een paar kritieke beveiligingsbugs in PHP — de software achter de meeste websites. Aanvallers kunnen er zonder wachtwoord een webserver mee overnemen. Er is een oplossing; het risico zit in servers die die niet krijgen.

Laatst gecontroleerd 2026-10-22

De versie in 30 seconden

Wat

Twee bugs (CVE-2026-109618, CVE-2026-109619) in de PHP-engine, gevonden door onderzoekers van Wiz, OpenAI en Calif.

Waarom het ernstig is

Geen login nodig, werkt via internet, en PHP draait een enorm deel van het web — elke site op een ongepatchte PHP is blootgesteld.

Wat het oplost

PHP op de server bijwerken en herstarten. Dat doet je hostingprovider, IT-afdeling of ontwikkelaar — niet een WordPress- of plugin-update.

Een vergelijking

Zie je website als een winkel en PHP als het pand waarin die zit. De voordeur van de winkel op slot doen (wachtwoorden, plugins, updates van je site) helpt niet als het pand zelf een kapotte achteringang heeft. PHP2Shell is die kapotte ingang — de eigenaar van het pand (je host of serverbeheerder) moet hem repareren.

Wat moet ik doen?

Kies wat bij jou past.

Ik heb een website (WordPress, webshop, verenigingssite…)

Zoek uit welke PHP-versie je site draait en vraag je host om te bevestigen dat die gepatcht is. WordPress of plugins bijwerken lost het niet op.

Controleer je site →

Ik leid een team of bedrijf

Vraag IT of je bureau: “Zijn al onze PHP-servers bijgewerkt voor CVE-2026-109618 en CVE-2026-109619 en herstart?” Vraag leveranciers hetzelfde over systemen die zij voor je beheren.

Wat IT moet doen →

Ik gebruik online diensten (HR, salaris, webshops)

Meestal niets. Aanbieders patchen hun eigen servers. Reken op korte onderhoudsvensters. Wees alert op phishingmails die dit nieuws als lokaas gebruiken.

Wie ging offline →

Ik ben journalist of gewoon nieuwsgierig

De bug zit in PHP zelf, de fix kwam uit op 21 oktober 2026, en het grootste risico zijn servers die nooit worden bijgewerkt.

Hoe het verliep →

Bericht voor je hostingprovider of ontwikkelaar

e-mail aan je hostingprovider

Onderwerp: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — patchstatus

Hallo,

Kunnen jullie bevestigen dat de PHP-runtime waarop mijn site(s) <domein>
draaien is bijgewerkt naar een release die CVE-2026-109618 en
CVE-2026-109619 oplost (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 of een
leveranciersbuild met de backport), en dat de PHP-FPM- / LSAPI-workers
daarna zijn herstart?

Als mijn account op PHP 8.1 of ouder draait: naar welke gepatchte versie
kan ik overstappen?

Met vriendelijke groet

Waar de naam vandaan komt

“Shell” is hackerjargon voor controle over een computer. De onderzoekers noemden hun gecombineerde exploitscript php2shell — van PHP naar een shell — en de naam bleef hangen voor het hele onderzoek. Het wordt soms verkeerd gespeld als php4shell, pho2shell of php2shel, en heeft niets te maken met “phpshell”-webshellscripts.

Vergelijk je het met Log4Shell?

Veel mensen herinneren zich de Log4j-crisis van 2021. Zo verhoudt PHP2Shell zich →

Vragen

Wat is PHP2Shell in eenvoudige woorden?+

Een paar ernstige bugs in PHP, de programmeertaal waarop de meeste websites draaien, waaronder de meeste WordPress-sites. Een vreemde op internet kan ze gebruiken om een webserver over te nemen of geheimen uit het geheugen te lezen, zonder in te loggen.

Wat is PHP?+

PHP is de taal die op de webserver draait en de pagina’s bouwt van zo’n 70% van de websites waarvan de servertaal bekend is — WordPress, Drupal, Joomla, MediaWiki van Wikipedia, veel webshops en interne bedrijfstools.

Wat betekent RCE (remote code execution)?+

Dat een aanvaller je server opdrachten naar keuze kan laten uitvoeren, vanaf elke plek op internet. In de praktijk kan hij dan data stelen, malware installeren, je website aanpassen of hem gebruiken om anderen aan te vallen.

Is PHP2Shell hetzelfde als een “PHP shell” of webshell?+

Nee. Een webshell (vaak phpshell genoemd) is een kwaadaardig script dat een aanvaller uploadt nadat hij is binnengedrongen. PHP2Shell is de naam van de kwetsbaarheid — vernoemd naar het exploitscript php2shell van de onderzoekers — waarmee hij zover kan komen.

Ik gebruik alleen een SaaS-tool. Moet ik iets doen?+

Meestal niet. Het oplossen is de taak van de aanbieder. Houd hun statuspagina in de gaten — sommigen, zoals BambooHR, gingen even offline om te patchen — en wijzig je wachtwoord alleen als ze daarom vragen.