Achtergrond - Geen massale hacks via PHP2Shell: waarom de waarschuwingen toch terecht waren

In dit artikel:

De verwachte grootschalige aanvalsgolf op websites met PHP is vooralsnog uitgebleven, maar de twee kritieke kwetsbaarheden vormen nog altijd een serieus risico. In Nederland namen beheerders sneller voorzorgsmaatregelen dan in veel andere landen. Websites van onder meer Tweakers, RTL Nieuws, DigiD, MijnOverheid en de Tweede Kamer werden woensdag tijdelijk ontoegankelijk gemaakt. Dat gebeurde niet omdat ze waren aangevallen, maar omdat er nog weinig betrouwbare informatie beschikbaar was en misbruik eenvoudig leek.

De onrust ontstond nadat informatie over de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 voortijdig was uitgelekt. Een video liet zien dat meerdere veelgebruikte webomgevingen snel konden worden aangevallen. Ook was er proof-of-conceptcode beschikbaar. De officiële patches zouden aanvankelijk donderdag verschijnen, maar kwamen door het lek en de oplopende dreiging al woensdagmiddag uit. De kwetsbaarheden kregen een CVSS-score van 9,2, mede omdat de mogelijke gevolgen groot waren en misbruik aanvankelijk haalbaar leek.

Onderzoek na het uitbrengen van de updates leidde tot een genuanceerder beeld. Het Nationaal Cyber Security Centrum (NCSC) handhaaft de hoge ernstinschatting, maar concludeert dat succesvolle aanvallen meer specialistische kennis van PHP vereisen dan eerst werd gedacht. Daardoor is de kans op een grootschalige aanval kleiner dan aanvankelijk gevreesd. Ook beveiligingsbedrijven als Sophos en Trail of Bits kwamen tot een vergelijkbare beoordeling. Het advies blijft desondanks om onmiddellijk te patchen.

Tot nu toe kent het NCSC één bevestigd incident waarbij de kwetsbaarheden zijn gebruikt. De getroffen site Steal My Bitcoin bevatte een bitcoinwallet met een waarde van ongeveer tweeduizend dollar en draaide op PHP 8.4.26. De website werd binnen een dag gecompromitteerd. Volgens Tweakers-beheerder Kees Hoekzema zijn er inmiddels meerdere werkende demonstraties en exploits in omloop. Het is bovendien mogelijk dat andere slachtoffers hun inbraak nog niet hebben ontdekt of niet openbaar willen maken.

Dat Nederlandse organisaties snel ingrepen, was volgens het NCSC verdedigbaar. Beheerders moesten beslissingen nemen op basis van een spectaculaire exploitvideo, waarschuwingen van onderzoekers, verontrustende signalen vanuit het PHP-project en openbaar gedeelde testcode. Achteraf kwamen er aanvullende maatregelen beschikbaar, zoals het beperken van bestandsuploads, het uitschakelen van functies of het tijdelijk alleen-lezen maken van een website. Die informatie had sommige organisaties mogelijk kunnen helpen om minder vergaande maatregelen te nemen dan volledig offline gaan.

De dreiging kan bovendien veranderen. AI-systemen maken het makkelijker om kwetsbaarheden te analyseren en exploitcode te ontwikkelen. Aanvallers kunnen de patches gebruiken om te onderzoeken welke code is aangepast en vervolgens proberen resterende zwakke plekken te benutten. Daardoor kan een probleem dat aanvankelijk alleen voor gespecialiseerde hackers toegankelijk was, sneller binnen bereik komen van een veel grotere groep.

Niet alle systemen zijn inmiddels beschermd. Beheerders kunnen updates later hebben geïnstalleerd, terwijl sommige apparaten afhankelijk zijn van fabrikanten die de PHP-versies eerst in hun eigen software moeten verwerken. Dat geldt bijvoorbeeld voor bepaalde NAS-systemen, netwerkproducten en beveiligingsapparatuur. Apparaten die niet rechtstreeks vanaf internet bereikbaar zijn lopen minder risico, maar zijn niet automatisch veilig.

Extra kwetsbaar zijn websites met niet langer ondersteunde PHP-releases. Volgens W3Techs gebruikt meer dan een derde van de PHP-sites nog een verouderde versie uit de 5- of 7-serie; ook binnen de 8-serie draaien nog systemen op versies waarvoor geen reguliere beveiligingsupdates meer verschijnen. Voor enkele oudere releases zijn wel backports van de beveiligingsoplossingen beschikbaar. Het NCSC adviseert organisaties echter vooral om oude installaties uit te schakelen en over te stappen op ondersteunde versies.

De belangrijkste les is volgens de berichtgeving dat bekende kwetsbaarheden vaak langer gevaarlijk blijven dan zerodays, omdat veel systemen niet tijdig worden bijgewerkt. PHP2Shell kan daarom nog geruime tijd gevolgen hebben, vooral bij verouderde of slecht zichtbare installaties. De massale PHPocalypse is niet uitgebroken, maar het risico is daarmee niet verdwenen.