Wat BSI, CISA, ENISA, Cloudflare en AWS zeggen over PHP2Shell

PHP-project en PHP Foundation

Het php.net-advies van 21 oktober is de operationele bron. Het zegt dat beide fouten uitvoering van code op afstand zonder authenticatie kunnen toestaan, dat elke PHP-installatie met webverzoeken risico loopt, dat mod_php het hoogste risico draagt en dat alleen een update een volledige oplossing is. De fix-releases zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens het bericht van de PHP Foundation van dezelfde dag is volledige RCE op Apache mod_php met standaardinstellingen vóór de applicatiecode gedemonstreerd en op PHP-FPM via applicatiepaden bevestigd. Een aantal compromitteringen noemt de Foundation niet.

NVD

Volgens de tijdlijn van Tanium publiceerde de NVD CVE-2026-109618 op 21 oktober 2026 om 14:17 UTC als „Undergoing Analysis”. Toen deze website op 22 oktober 2026 rond 07:20 UTC de NVD-API raadpleegde, hadden beide vermeldingen de status „Modified” en droegen ze naast de CVSS-v4.0-score 9.2 van het PHP-securityteam een eigen (Primary) CVSS-v3.1-score van de NVD van 9.8 (Kritiek), vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. De twee scores komen uit verschillende beoordelingssystemen en spreken elkaar niet tegen. Voor de opgeloste versies geldt het PHP-advies.

CISA

De CISA-waarschuwing van 21 oktober 2026 vraagt om direct patchen naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35, een inventarisatie van PHP ook waar het alleen een onderdeel is, en het uitschakelen van systemen die niet kunnen worden bijgewerkt, inclusief PHP 8.1 en ouder. Een web application firewall kan tot die tijd enige bescherming bieden. Over misbruik: de CISA had tot de publicatie niets waargenomen. De waarschuwing zegt niet dat een van de CVE’s in de KEV-catalogus is opgenomen. Deze website heeft de KEV-JSON-feed van de CISA op 22 oktober 2026 rond 08:05 UTC opnieuw opgevraagd: catalogusversie 2026.10.21 (gepubliceerd op 21 oktober, 14:04 UTC) bevatte nog steeds geen van beide CVE’s.

ENISA, gezamenlijke EU-verklaring en CERT-EU

ENISA publiceerde een gezamenlijke verklaring over de kritieke PHP-kwetsbaarheden. Volgens de opgevraagde tekst gaf het PHP-securityteam de updates uit op 21 oktober 2026 om 13:40 UTC, en kunnen de fouten op kwetsbare servers zonder authenticatie kwaadaardige code uitvoeren. CERT-EU-advies 2026-018 is een apart document: versie 1.1 zegt dat de fixes op 21 oktober om 13:30 UTC verschenen, dat er PoC’s circuleren, wat de kans op lopend misbruik vergroot, en adviseert direct te patchen of publiek bereikbare applicaties te isoleren tot een fix is geïnstalleerd en gecontroleerd. De tijden 13:30, 13:40 en 14:00 UTC blijven zoals de bronnen ze noemen.

Verenigd Koninkrijk en Nederland

Het Britse NCSC adviseert PHP in het algemeen te identificeren, niet alleen oude versies, de hardening van het PHP-team toe te passen en een systeem van het netwerk te halen als tijdelijke mitigaties niet tijdig mogelijk zijn. Bij blootgestelde systemen moet naar compromittering worden gezocht. Het verwijst naar de php2shell-repository van het NCSC-NL met software die van PHP afhankelijk is – een startinventaris, geen bewijs dat een niet-vermeld product veilig is.

Canada, Duitsland en Japan

• Canadian Centre for Cyber Security, AL26-026, 21 oktober 2026: beide CVE’s beschreven als use-after-free waarmee een niet-geauthenticeerde actor willekeurige code zou kunnen uitvoeren. Het centrum noemt open-source-berichten over een beschikbare PoC en geen vastgesteld actief misbruik; het noemt dezelfde vier fix-versies en zegt dat 8.1 en ouder geen officiële release krijgen.
• BSI, waarschuwing 2026-297981-1032, versie 1.0 van 21 oktober 2026: CVSS v4.0 9.2 betekent uitvoering van code op afstand zonder authenticatie en zonder gebruikersinteractie. Bevestigd misbruik is niet bekend, maar er zijn al onbevestigde berichten over exploits. De patch werd verwacht om 16:00 uur Duitse tijd (14:00 UTC) en moest direct na verschijnen worden geïnstalleerd. Lees dit als het standpunt van het BSI ten tijde van deze versie, niet als latere geruststelling.
• JPCERT/CC publiceerde op 22 oktober 2026 de volledige waarschuwing JPCERT-AT-2026-0033: PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起. Daarin staat dat misbruik een aanvaller willekeurige code kan laten uitvoeren met de rechten van het PHP-proces, dat JPCERT/CC heeft vastgesteld dat het product in Japan breed wordt gebruikt, en dat gebruikers de updates snel moeten installeren en moeten onderzoeken of ze zijn gecompromitteerd. Ook PHP uit Linux-distributies en producten met ingebouwde PHP kunnen getroffen zijn. Voor dat onderzoek geeft de waarschuwing de aanwijzingen van de ontdekkers door: ongewoon lange of misvormde PHPSESSID-cookies in eerdere antwoorden, verdachte multipart/form-data-verzoeken gevolgd door PHP-geheugenlimietfouten of HTTP 500-fouten, en PHP-workers die onverwacht crashten of herstartten. Het ontbreken van die sporen bewijst niet dat er geen aanval was. De waarschuwing doet zelf geen uitspraak over vastgesteld misbruik. De JVN-lijst van JPCERT/CC had dezelfde ochtend een bijbehorende vermelding met tijdstempel 10:30.
• IPA (Information-technology Promotion Agency, Japan) publiceerde op 22 oktober 2026 de pagina PHPの脆弱性対策について (CVE-2026-109618, CVE-2026-109619: PHP2shell), als vervolg op haar verzoek tot voorbereiding van 21 oktober. Ze beschrijft CVE-2026-109618 als fout in de afhandeling van geheugentekort (OOM) en CVE-2026-109619 als fout in de verzoekverwerking, waarmee een externe derde willekeurige code kan uitvoeren, noemt dezelfde vier fix-versies en citeert Wiz, volgens wie PHP vanaf 5.4 door minstens één van beide lekken getroffen is. Voor PHP 8.1 en ouder, die geen fix krijgen, adviseert IPA over te stappen op een ondersteunde versie of een gepatcht product, tijdelijke maatregelen of toegangsbeperkingen te nemen en, als dat niet kan, te overwegen externe toegang te blokkeren of de dienst tijdelijk uit te schakelen. De pagina doet geen uitspraak over misbruik.

Singapore, Hongkong en Thailand

• De Cyber Security Agency of Singapore, waarschuwing AL-2026-151 van 21 oktober 2026, laatst bijgewerkt op 22 oktober: beide CVE’s hebben CVSS v4.0 9.2 en kunnen code-uitvoering zonder authenticatie mogelijk maken. Onder „Known Exploitation” staat dat er meldingen zijn van grootschalige misbruikpogingen en van meerdere ontwikkelde proof-of-concept-exploits. Alle PHP-versies zouden getroffen zijn; organisaties moeten direct updaten, internetgerichte systemen eerst, en nagaan of PHP via componenten van derden op webservers draait, ook als de hoofdsite geen PHP gebruikt.
• De bulletinlijst van HKCERT van 22 oktober 2026 beoordeelt „PHP Multiple Vulnerabilities” als Extremely High Risk en vermeldt dat CVE-2026-109618 en CVE-2026-109619 in het wild worden misbruikt. Dat is de formulering van HKCERT; de samenvatting noemt geen gecompromitteerde website.
• ThaiCERT (de National Cyber Security Agency van Thailand) plaatste op 22 oktober 2026 om 07:40 UTC een waarschuwing op X (bericht). Daarin staat dat een proof of concept openbaar is gepubliceerd; genoemd worden dezelfde vier gerepareerde versies en PHP-FPM, Apache mod_php, php-cgi, FrankenPHP en LiteSpeed. Beheerders moeten er rekening mee houden dat distributie- of panelpakketten het oude versienummer met een teruggezette fix kunnen houden, PHP-workers na de update herstarten en container-images opnieuw bouwen vanaf gepatchte basisimages. ThaiCERT meldt geen bevestigde compromittering.

Cloudflare en de cijfers van 22 oktober

De blog van Cloudflare van 21 oktober zegt dat WAF-regels voor gratis en betaalde abonnementen vanaf 03:02 UTC actief waren, dat het lek vóór de officiële release was uitgelekt en dat Cloudflare aanvalsverkeer en tegen de regels gerichte aanpassingen van payloads zag; klanten moesten toch patchen. Een Reuters-bericht van 22 oktober 2026 citeert Matthew Prince uit een bericht op X (dat deze website niet heeft geopend): duizenden pogingen in de tien uur vóór de aankondiging, tienduizenden in de 45 minuten erna, honderdduizenden binnen twee uur en miljoenen op het moment van het bericht. Hetzelfde bericht zegt dat overheidswebsites in Europa en elders offline gingen en dat Mitsubishi UFJ Financial Group en het Japanse ministerie van Financiën als noodmaatregel tijdelijk enkele diensten stillegden. Dat beschrijft uitschakelingen, geen compromittering door PHP2Shell.

AWS en watchTowr

AWS zegt dat MadPot op 17 oktober 2026, vier dagen vóór de bekendmaking, een misbruikpoging zag en op 21 oktober verdere pogingen en PoC’s, ook vóór het einde van het embargo. Of die op echte systemen zouden zijn geslaagd, is onduidelijk; na de patch wordt PHP2Shell breed misbruikt – bedoeld zijn de waargenomen pogingen, geen gepubliceerde lijst van gecompromitteerde websites. watchTowr ziet actieve misbruikpogingen op beide CVE’s in zijn honeypotnetwerk; volgens SecurityWeek zonder geslaagde pogingen.

Het AWS-beveiligingsbulletin 2026-143-AWS (gepubliceerd op 21 oktober 2026 om 14:30 PDT, laatst bijgewerkt om 20:30 PDT) zegt dat AWS-diensten zelf niet getroffen zijn, maar dat klanten met getroffen PHP-versies in Amazon WorkMail, Elastic Beanstalk, Amazon Linux of Lightsail dat wel kunnen zijn. De impact blijft beperkt tot de getroffen PHP-worker en zijn rechten op applicatieniveau; verspreiding tussen klanten is tot nu toe niet vastgesteld. De status per dienst staat op de pagina leveranciersstatus.

Datadog, Qualys, Tanium, Huntress en Elastic

• Datadog Security Labs heeft naar eigen zeggen beide problemen onafhankelijk gereproduceerd en zegt dat authenticatie in de applicatie het mod_php-pad niet stopt. Alleen patchen is een volledige oplossing. Reproductiestappen geven wij niet weer.
• Qualys adviseert in een update van 21 oktober 2026 voorrang te geven aan publiek bereikbare PHP, te beginnen met Apache mod_php.
• Tanium zegt dat misbruik in het wild is gemeld, maar dat betrouwbare openbare exploits bij het schrijven nog schaars waren en dat geen CVE in de bekeken KEV-update van 21 oktober stond.
• Huntress adviseert direct bij te werken naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35 en had in het via zoeken getoonde deel nog geen misbruik bij zijn partners gezien.
• Elastic Security Labs schrijft in een bericht van 21 oktober 2026 dat er bij het schrijven geen betrouwbare, volledige openbare proof of concept was. De detectie richt zich daarom op waar elke PHP-RCE op uitloopt: een webserver of PHP-worker (php-fpm, php-cgi, lsphp, Apache, nginx) die een shell start, met curl of wget een tweede fase ophaalt of nieuwe scriptbestanden in de webroot schrijft. Het bericht noemt de bijbehorende Elastic-endpoint- en SIEM-regels en zoekopdrachten om PHP-installaties te inventariseren. Elastic geeft aan dat dit geen volledige dekking garandeert, bijvoorbeeld bij bestandsloze uitvoering.

Distributies en paneelleveranciers in het kort

Het bulletin RHSB-2026-013 van Red Hat zegt dat sommige updates beschikbaar zijn en andere in voorbereiding. Ubuntu heeft fixes gepubliceerd voor alle ondersteunde releases. cPanel heeft updates uitgebracht voor ea-php74 en hoger, Plesk fixes voor de meegeleverde PHP. Details en grenzen van deze uitspraken staan op de leverancierspagina.

Uit voorzorg offline gehaalde sites

De door de community bijgehouden PHPocalypse Tracker verzamelt sites die vanwege PHP2Shell offline gingen, op basis van openbare meldingen en eigen controles. Op 22 oktober 2026 telde hij 50 vermeldingen: 24 in Nederland, 17 overheidsinstanties, 44 al weer online. Daaronder de Tweede Kamer, het NCSC, DigiD, MijnOverheid, de Autoriteit Persoonsgegevens, de Kustwacht, Tweakers en de raadsinformatie van NotuBiz voor meer dan honderd gemeenten. De Autoriteit Persoonsgegevens was bij onze controle nog niet bereikbaar. De meeste vermeldingen spreken van voorzorg; geen ervan is een bevestigde inbraak. De tijden zijn meldtijden, niet het moment van uitschakelen.