Niet php.net · Niet NVD · Niet CISA

PHP-kwetsbaarhedentracker

Onofficiële briefing over beveiligingslekken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Beveiligingswaarschuwing

PHP2Shell: werk PHP bij. Dat is de enige volledige oplossing.

CVE-2026-109618 en CVE-2026-109619 zijn kritieke kwetsbaarheden in PHP zelf die uitvoering van code op afstand zonder authenticatie mogelijk maken. Het PHP-project bracht op 21 oktober 2026 fixes uit voor de ondersteunde takken 8.2 tot en met 8.5. Herstart PHP na de update. Een firewall is geen vervanging.

Stappen om te patchen

FAQ

PHP2Shell FAQ: wat beheerders vragen over de PHP-kwetsbaarheid

De antwoorden volgen de hieronder gelinkte openbare bronnen. Waar die elkaar tegenspreken, zegt het antwoord dat, in plaats van een gemiddelde te nemen.

Laatst bijgewerkt

Wat is PHP2Shell?

Een verzamelnaam voor CVE-2026-109618 en CVE-2026-109619, twee kritieke kwetsbaarheden in de PHP-runtime. Volgens het PHP-project kunnen ze bij PHP die webverzoeken afhandelt uitvoering van code op afstand zonder authenticatie mogelijk maken. De CISA schrijft de bijnaam als „php2shell”.

Welke versies zijn opgelost?

PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 of latere releases van deze takken. Ze verschenen op 21 oktober 2026. PHP 8.1 en ouder kregen geen officiële release. Minimale broncode-backports zijn er voor 7.4, 8.0 en 8.1.

Is een upgrade de enige volledige oplossing?

Ja, volgens het PHP-project en AWS. Aanpassingen aan memory_limit, een kleinere post_max_size, het uitschakelen van session upload progress en een web application firewall zijn tijdelijke maatregelen. Volgens PHP maken ze een installatie niet veilig.

Zijn mod_php en PHP-FPM allebei getroffen?

PHP noemt beide, plus php-cgi, FrankenPHP en LiteSpeed. Het hoogste risico ziet het bij mod_php, met een gedemonstreerde exploit zonder authenticatie vóór de applicatiecode. FPM hoort er ook bij. De PHP Foundation en oss-security wegen FPM iets anders; beide zeggen dat FPM gepatcht moet worden.

Wordt het lek misbruikt?

Pogingen: ja, volgens AWS, Cloudflare en watchTowr. AWS dateert een honeypotpoging op 17 oktober 2026, vier dagen vóór de bekendmaking. Een geslaagde compromittering van echte productiesystemen is niet bevestigd door de CISA-waarschuwing, het bericht van SecurityWeek over de sensoren van watchTowr, het AWS-bericht (succes op echte systemen onduidelijk) of de klantmelding van Expel met stand 21 oktober, 20:00 UTC.

Staan de CVE’s in de CISA-catalogus Known Exploited Vulnerabilities?

Volgens Expel stond geen van beide erin op 21 oktober 2026 om 20:00 UTC. Tanium beschrijft een catalogusupdate op dezelfde dag om 14:04 UTC zonder de twee. De FAQ van watchTowr van 22 oktober zegt nog steeds: niet opgenomen. Controleer de actuele catalogus; deze website vraagt hem niet bij elk bezoek opnieuw op.

Hoe zit het met PHP 8.1 en ouder, inclusief PHP 5?

Daarvoor is er geen officiële release van 21 oktober. Wiz, Google Cloud en Cloudflare beschrijven getroffen versies van PHP 5.4 tot de ongepatchte 8.5-builds. watchTowr sprak van PHP 5 en hoger. Expel merkt op dat PHP 7.3 en ouder in het bekeken materiaal niet uitdrukkelijk heeft bevestigd, en raadt toch aan niet-ondersteunde PHP op het web als risicovol te behandelen. Bijwerken of van het netwerk halen.

Vervangt een WAF de patch?

Nee. De CISA zegt dat een WAF tot de patch enige bescherming kan bieden. Cloudflare heeft regels uitgerold en raadt klanten toch aan te patchen. Volgens het PHP-project is alleen een update volledig.

Hoeveel servers zijn blootgesteld?

The Record bericht over een VirusTotal-analyse van circa 5,1 miljoen IP-adressen met PHP – niet 5,1 miljoen bevestigd kwetsbare hosts. Volgens ThreatCluster geven daarvan ongeveer 1,1 miljoen een versie op. Wiz en Cloudflare noemen apart het aandeel van PHP in websites, bijna 70 procent. Dat zijn verschillende metingen.

Publiceert u exploitcode of een proof of concept?

Nee. Openbare berichten zeggen dat er proof-of-concept-code bestaat. Expel waarschuwt dat sommige circulerende code ongeverifieerd en mogelijk kwaadaardig is. Deze website linkt naar adviezen en host geen payloads of aanvalshandleidingen.

Is dit een officiële website van PHP, NVD of CISA?

Nee. phpvulnerabilities.app is een onafhankelijke briefing zonder band met de PHP Group, php.net, NVD, NIST of CISA. Lees de gelinkte adviezen voordat u handelt, en geef ze bij tegenstrijdigheden voorrang.

Wat als ik vandaag niet kan patchen?

De CISA adviseert publiek bereikbare PHP tot de update van het netwerk te halen, vooral PHP 8.1 en ouder. Moet het kort blijven draaien, stel dan de onvolledige instellingen van de herstelpagina in, zet er een WAF voor en plan de upgrade in uren in plaats van in een patchvenster van 30 dagen. Dat laatste is de les die AWS uit deze gebeurtenis trekt, geen belofte dat uren altijd volstaan.

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  3. Known Exploited Vulnerabilities catalog — CISA
  4. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
  5. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  6. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  7. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  8. PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
  9. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
  10. Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
  11. PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record