WordPress · PHP2Shell

Is mijn WordPress-site kwetsbaar voor PHP2Shell?

Waarschijnlijk wel, tenzij je host PHP al heeft gepatcht. WordPress was een van de publieke demodoelwitten, maar de bug zit in PHP — het gaat dus om de PHP-versie van je server, niet om je WordPress-versie of plugins.

Laatst gecontroleerd 2026-10-22

WordPress bijwerken lost dit niet op

PHP2Shell zit in PHP zelf, onder WordPress. Onderzoekers demonstreerden remote code execution zonder authenticatie op het officiële image wordpress:latest. Waar het om gaat is de PHP-versie die je server draait, en alleen wie de server beheert kan die bijwerken.

1. Vind je PHP-versie in WordPress

Dit toont de PHP die je site echt serveert, en dat is de versie die telt.

  1. Log in op wp-admin en open Gereedschap → Sitediagnose (Tools → Site Health).
  2. Ga naar het tabblad Info en klap Server open.
  3. Lees PHP versie af (bijv. “8.3.6 (Supports 64bit values)”).
  4. Geen beheerderstoegang? Veel hostingdashboards tonen de PHP-versie per site.
command line (toont de CLI-PHP — kan afwijken van de webserver)
wp eval 'echo PHP_VERSION, PHP_EOL;'   # WP-CLI
php -v

2. Vergelijk

Plak een versie, de uitvoer van php -v, of één versie per regel voor een hele serverpark. Draait volledig in je browser.

Probeer:

De CLI en de webserver kunnen verschillende PHP-builds draaien. Controleer de versie die je webserver echt gebruikt: php-fpm -v (of php-fpm8.3 -v), of phpinfo() via die site.

BranchKwetsbaarOpgelost in
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4alleAlleen source-backport
5.4 – 7.3alleGeen fix

3. Laat het patchen

Shared of managed hosting

Je host patcht PHP. Kies de nieuwste PHP-versie in je hostingpanel en vraag hen de patch en de herstart te bevestigen. Hostinggids →

Eigen server, VPS of container

Jij (of je ontwikkelaar) patcht PHP en herstart PHP-FPM / Apache. Patchgids →

e-mail aan je hostingprovider
Onderwerp: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — patchstatus

Hallo,

Kunnen jullie bevestigen dat de PHP-runtime waarop mijn site(s) <domein>
draaien is bijgewerkt naar een release die CVE-2026-109618 en
CVE-2026-109619 oplost (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 of een
leveranciersbuild met de backport), en dat de PHP-FPM- / LSAPI-workers
daarna zijn herstart?

Als mijn account op PHP 8.1 of ouder draait: naar welke gepatchte versie
kan ik overstappen?

Met vriendelijke groet

Managed WordPress-hosting

Managed WordPress-hosts (bijvoorbeeld WP Engine, Kinsta, WordPress.com / Pressable, SiteGround) beheren PHP voor je, en de meeste patchen op platformniveau zonder dat jij iets hoeft te doen. Automattic was een van de partners die vóór de disclosure hielpen bij het opstellen van richtlijnen.

We hebben de patchstatus niet per host gecontroleerd. Bekijk de statuspagina of supportberichten van je host, of stuur ze het bericht hierboven.

Plugins en thema’s

Geen enkele plugin veroorzaakt of verhelpt PHP2Shell. Plugins uitschakelen, van thema wisselen of wp-config.php verharden verandert je blootstelling niet. Een beveiligingsplugin draait pas nadat PHP de request heeft geparst — en dan is het al te laat.

4. Na het patchen

  • Controleer de PHP-versie in WordPress opnieuw — die hoort een gepatchte release te tonen (of laat je host een gebackporte build bevestigen).
  • Was de site een tijd blootgesteld, wijzig dan beheerderswachtwoorden en API-sleutels in de siteconfiguratie, en zoek naar onbekende beheerders of nieuwe PHP-bestanden. Detectiegids →

Vragen

Is mijn WordPress-site kwetsbaar voor PHP2Shell?+

Als hij draait op PHP ouder dan 8.5.12, 8.4.27, 8.3.36 of 8.2.35 (en de host geen gepatcht pakket heeft geïnstalleerd): ja. De versie van WordPress, het thema en de extensies doen er niet toe — de bug zit in PHP.

Lost WordPress bijwerken PHP2Shell op?+

Nee. Updates van WordPress wijzigen de applicatie, niet de PHP-runtime eronder. Houd WordPress wel bijgewerkt, maar de oplossing is een PHP-update door wie je server beheert.

Heeft een aanvaller een beheerdersaccount nodig?+

Nee. De gedemonstreerde aanvallen werken vóór authenticatie: geen login, geen speciale plugin of module, alleen HTTP-requests naar de site.

Installeren de automatische updates van WordPress de PHP-fix?+

Nee. Automatische updates van WordPress-core en plugins raken de PHP-runtime nooit. PHP wordt bijgewerkt door je host of serverbeheerder.

Beschermt een beveiligingsplugin zoals Wordfence mij?+

Beveiligingsplugins draaien binnen WordPress, nadat PHP de request al heeft geparst — te laat voor deze bug. Ze kunnen PHP2Shell niet tegenhouden. Een WAF vóór de site (bijv. Cloudflare) helpt meer, maar de oplossing blijft een PHP-update.

Ik gebruik WooCommerce. Is het erger?+

Het risico is hetzelfde, maar er staat meer op het spel: het geheugenlek kan klantsessies, beheerderscookies en API-sleutels van betaalproviders in het PHP-geheugen blootgeven. Vervang de sleutels van je betaalprovider als je blootstelling vermoedt.

Gerelateerd