PHP2Shell: wat het is en wat je als website-eigenaar doet
PHP2Shell is de bijnaam voor twee kritieke beveiligingslekken in PHP zelf, de taal waarop onder meer WordPress draait. Je lost ze op door PHP op de server te updaten, en dat doet je hostingpartij, niet jij in WordPress. Vraag aan je hostingpartij welke PHP-versie je website gebruikt en of de nieuwste beveiligingsupdate is geïnstalleerd.
Wat is PHP2Shell?
PHP2Shell is een bijnaam die onderzoekers gebruiken voor twee kritieke fouten in PHP, met de nummers CVE-2026-109618 en CVE-2026-109619. De PHP-ontwikkelaars beoordelen beide met 9,2 op een schaal tot 10. Via zulke fouten kan een aanvaller in het ergste geval eigen opdrachten laten uitvoeren op de server waarop je website staat. Het is dus geen fout in je eigen website, thema of plugin.
De naam komt niet van het PHP-project zelf. Zoek je naar meer informatie, gebruik dan ook de CVE-nummers.
Waarom helpt een WordPress-update hier niet?
PHP is de software die op de server je pagina’s opbouwt. WordPress, je thema en je plugins zijn programma’s die erbovenop draaien. Een lek in PHP zit dus onder al die onderdelen. Alles in WordPress bijwerken is verstandig, zoals het artikel over WordPress-updates uitlegt, maar het sluit dit lek niet. Daarvoor moet PHP zelf een nieuwere versie krijgen.
Wie moet PHP updaten?
Bij gewone hosting is dat je hostingpartij, omdat die de server beheert. Volgens de berichten die nu circuleren zijn er noodupdates verschenen voor PHP 8.2 tot en met 8.5. Gebruikt je website een oudere PHP-versie, dan is de kans groot dat daar geen update meer voor komt. Dan helpt alleen overstappen op een nieuwere versie.
Stuur je hostingpartij daarom een korte vraag: welke PHP-versie draait mijn website, en is de beveiligingsupdate voor PHP2Shell al geïnstalleerd? Een goede partij antwoordt daar snel op. Bij Baxon kun je die vraag stellen via Contact.
Hoe groot is het risico nu echt?
Dat is nog niet helemaal duidelijk. Een onderzoeker meldde 35 shells op lokvogelservers, de zogeheten honeypots. Dat zijn servers die bewust kwetsbaar zijn gelaten om aanvallen te volgen, dus het bewijst dat er geprobeerd is, niet dat echte websites zijn overgenomen. Hostinger schreef op 27 oktober dat er tot dan toe geen bevestigde inbraak op een echte website was. Een eerdere melding over een aanval op een overheidsinstantie is volgens datzelfde bericht ingetrokken.
Dit kan snel veranderen. Reken er daarom op dat aanvallers het lek wel blijven proberen, ook als je het nieuws rustig vindt. Firewalls van hostingpartijen en van diensten als Cloudflare kunnen een deel van de aanvallen tegenhouden, maar vervangen de PHP-update niet.
Wat kun je zelf doen?
- Vraag je hostingpartij naar de PHP-versie en de update, zoals hierboven.
- Zorg voor een recente back-up die je kunt terugzetten. Lees hoe vaak en waar je een back-up bewaart.
- Kijk of er onbekende bestanden of gebruikers in je website zijn bijgekomen, bijvoorbeeld extra beheerders in WordPress.
- Merk je iets vreemds, zoals een website die ineens traag is of pagina’s die er anders uitzien, volg dan de stappen bij een storing.
Houd daarnaast WordPress, thema’s en plugins bijgewerkt. SitesMonkey, het platform achter Baxon, laat zien of er updates beschikbaar zijn, of je website online is en wanneer je SSL-certificaat verloopt. Meer daarover vind je op de pagina Onderhoud.