Achtergrond - Wat we nu weten over PHP2Shell, de twee kwetsbaarheden in scriptingtaal PHP

In dit artikel:

Twee ernstige kwetsbaarheden in PHP hebben wereldwijd tot alarm geleid. De informatie over de beveiligingsproblemen kwam voortijdig naar buiten, waarna het ontwikkelteam de patches eerder uitbracht dan gepland. De updates zijn beschikbaar voor PHP-versies 8.2 tot en met 8.5. Websites en andere systemen die PHP gebruiken, moeten zo snel mogelijk worden bijgewerkt.

PHP is een programmeertaal waarmee webservers dynamische pagina’s en applicaties aanbieden. Volgens W3Techs draait de taal op 69,3 procent van alle websites. Ook systemen als WordPress, Joomla, Drupal, Magento, MediaWiki, phpBB, Laravel en Symfony zijn ervan afhankelijk. Daarnaast kan PHP worden gebruikt in webinterfaces voor apparaten, routers, Raspberry Pi-systemen en andere internet-of-things-apparatuur, al is daarvoor vaak een afzonderlijke installatie nodig.

De kwetsbaarheden staan geregistreerd als CVE-2026-109618 en CVE-2026-109619. Ze hebben een CVSS-score van 9,2 op 10 en zouden al sinds PHP 5.4.0, dat in 2012 verscheen, in de software aanwezig zijn. Aanvallers kunnen via internet bepaalde verzoeken naar een kwetsbare server sturen en daar mogelijk eigen code uitvoeren. Daarmee kunnen zij bijvoorbeeld websites aanpassen, schadelijke pagina’s plaatsen of malware verspreiden. Er is inmiddels exploitcode online verschenen en er zijn signalen dat aanvallers al naar kwetsbare systemen zoeken.

Het uitlekken van de details leidde ertoe dat de geplande release van donderdag naar voren werd gehaald. Beveiligingsonderzoekers waarschuwden voor tijdelijke maatregelen, waaronder het uitschakelen van functies rond uploadprocessen, het blokkeren van multipart POST-verzoeken en het inzetten van firewallregels, CDN-diensten of Linux-beveiligingsmodules zoals AppArmor en SELinux. Zulke maatregelen kunnen risico’s beperken, maar volgens een PHP-kernontwikkelaar biedt alleen een officiële software-update volledige bescherming.

Sommige organisaties haalden hun websites daarom tijdelijk offline. Dat gebeurde onder meer bij Tweakers en RTL Nieuws. Ook alle Vlaamse overheidswebsites en enkele Nederlandse overheidsdiensten, waaronder MijnOverheid en DigiD.nl, waren uit voorzorg niet bereikbaar. Offline gaan geldt als de meest zekere tijdelijke bescherming, maar veroorzaakt ook hinder voor organisaties, klanten en gebruikers. Sites die deze stap hadden gezet, konden na het beschikbaar komen van de patches weer online worden gebracht.

De huidige updates gelden officieel alleen voor ondersteunde versies. PHP 8.1 en 8.0 hebben inmiddels het einde van hun levensduur bereikt en krijgen normaal gesproken geen beveiligingscorrecties meer. Het is nog niet duidelijk of voor oudere releases alsnog patches verschijnen. Beheerders van zulke installaties moeten daarom upgraden of andere beschermingsmaatregelen nemen.

Dat probleem is omvangrijk: 64,2 procent van de PHP-sites gebruikt een versie uit de 8-serie, waarin ook de verouderde 8.0 en 8.1 meetellen. Daarnaast draait 27 procent op de 7-serie en 7,7 procent op de 5-serie. Daarmee gebruikt minstens 37,7 procent van de PHP-websites een verouderde versie die niet standaard door de nieuwe updates wordt gedekt.