PHP-beveiligingsgidsen: kwetsbaarheidsklassen, versieveiligheid en distrofixes

PHP-beveiligingsgidsen

Naast PHP2Shell komen de meeste inbraken op PHP-sites voort uit een handvol bekende foutklassen in applicatiecode. Deze gidsen leggen elke klasse eenvoudig uit, hoe je die in je eigen code vindt en hoe je hem oplost.

Laatst bijgewerkt 2026-10-22

Veelvoorkomende PHP-kwetsbaarheidsklassen

PHP object injection: wat het is en hoe je het oplostPHP object injection ontstaat wanneer door gebruikers beïnvloedbare invoer unserialize() bereikt, dat objecten kan aanmaken waarvan de magische methoden door de aanvaller gekozen logica uitvoeren.
PHP file inclusion (LFI/RFI): wat het is en hoe je het oplostFile inclusion ontstaat wanneer gebruikersinvoer het pad voor include of require bepaalt, waardoor een aanvaller lokale bestanden leest (LFI) of, met allow_url_include aan, externe code uitvoert (RFI).
SSRF in PHP: wat het is en hoe je het oplostServer-side request forgery (SSRF) ontstaat wanneer een PHP-app een door de gebruiker bepaalde URL ophaalt, waardoor een aanvaller via je server interne diensten of cloudmetadata-endpoints bereikt.
XSS in PHP: wat het is en hoe je het voorkomtCross-site scripting (XSS) ontstaat wanneer een PHP-pagina door gebruikers beïnvloedbare data zonder escaping in HTML zet, zodat het script van een aanvaller in de browser van andere bezoekers draait.
phpinfo()-blootstelling: waarom het telt en hoe je het oplostEen openbare phpinfo()-pagina verraadt de exacte PHP-versie, geladen modules, bestandspaden en vaak omgevingsvariabelen of geheimen, wat aanvallers helpt fouten als PHP2Shell gericht te misbruiken.

Versies, distributies en verwante adviezen

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

Cross Site Scripting Prevention Cheat Sheet — OWASP Cheat Sheet Series
Server-Side Request Forgery Prevention Cheat Sheet — OWASP Cheat Sheet Series
Supported Versions — PHP project (php.net)
Security update available for Adobe Commerce | APSB25-88 — Adobe