Achtergrond - De PHPocalypse bleef uit: waarom de PHP2Shell-waarschuwingen toch terecht waren

In dit artikel:

De ontdekking van twee kritieke kwetsbaarheden in PHP veroorzaakte vorige week grote onrust. In Nederland gingen onder meer Tweakers, RTL Nieuws, DigiD, MijnOverheid en de website van de Tweede Kamer uit voorzorg tijdelijk offline. Aanleiding waren uitgelekte technische details, proof-of-conceptcode en een video waarin aanvallen snel uitvoerbaar leken. De officiële patches werden daarom eerder uitgebracht dan gepland.

De eerste risico-inschatting was zeer hoog. De kwetsbaarheden, geregistreerd als CVE-2026-109618 en CVE-2026-109619, kregen een CVSS-score van 9,2. Ook waarschuwingen van PHP-ontwikkelaars, beveiligingsonderzoekers en het Nationaal Cyber Security Centrum (NCSC) versterkten de vrees voor grootschalige aanvallen. Later onderzoek van het NCSC en beveiligingsbedrijven wees echter uit dat succesvol misbruik meer gespecialiseerde kennis vereist dan aanvankelijk werd gedacht. De ernst blijft groot, maar de kans op massaal misbruik wordt nu lager ingeschat.

Tot dusver is bij het NCSC één concreet geval bekend. De website Steal My Bitcoin, waarop een digitale portemonnee met ongeveer 2.000 dollar aan bitcoin stond, werd binnen een dag aangevallen. De server draaide PHP 8.4.26. Mogelijk zijn er meer slachtoffers, maar sommige beheerders hebben een inbraak nog niet ontdekt of niet gemeld.

Volgens deskundigen was het Nederlandse voorzorgsbeleid gezien de toen beschikbare informatie verdedigbaar. Beheerders beschikten aanvankelijk over weinig betrouwbare handelingsopties, terwijl de exploitdemonstratie en gedeelde testcode de indruk wekten dat aanvallen eenvoudig waren. Achteraf kwamen er aanvullende maatregelen beschikbaar, zoals het uitschakelen van uploads of het beperken van functionaliteit. Daarmee hadden sommige organisaties mogelijk kunnen volstaan zonder volledig offline te gaan.

De dreiging is volgens betrokken experts dan ook niet verdwenen. Werkende aanvalscode circuleert inmiddels en kunstmatige intelligentie kan het ontwikkelen of aanpassen daarvan versnellen. Na het verschijnen van patches kunnen aanvallers bovendien bestuderen welke softwareonderdelen zijn gewijzigd. Daardoor kunnen nieuwe varianten ontstaan, ook wanneer een update de kwetsbaarheid grotendeels verhelpt.

Niet alle systemen zijn al beschermd. Apparaten en softwareproducten waarin PHP is ingebouwd, zijn afhankelijk van updates van hun leveranciers. Daarnaast gebruikt een aanzienlijk deel van de PHP-websites nog verouderde, niet langer ondersteunde versies, waaronder versies uit de 5-, 7- en oudere 8-reeks. Voor enkele daarvan zijn backports beschikbaar, maar het NCSC adviseert vooral om verouderde installaties uit te schakelen en over te stappen op ondersteunde versies. Omdat bekende kwetsbaarheden vaak nog lang aanwezig blijven op slecht bijgewerkte systemen, kan het risico van deze PHP-gaten nog geruime tijd voortduren.