Wat is PHP2Shell? Twee kritieke RCE-kwetsbaarheden in PHP

Wat volgens het PHP-project risico loopt

Het advies van php.net van 21 oktober omvat elke PHP-installatie die webverzoeken afhandelt en noemt PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het hoogste risico ziet het project bij mod_php: met een gedemonstreerde exploit kan een verzoek zonder authenticatie de aanval starten voordat applicatiecode draait. Hardening op applicatieniveau helpt op dit pad niet.

Hetzelfde advies zegt dat alleen een update een volledige oplossing is. Tijdelijke instellingen verkleinen het aanvalsoppervlak voor bepaalde paden en maken een installatie niet veilig. De CISA komt tot dezelfde conclusie: direct patchen en PHP-systemen van het netwerk halen als bijwerken niet mogelijk is, uitdrukkelijk ook PHP 8.1 en ouder.

Hoe de twee fouten verschillen

Beide zitten in code die vrijwel elk verzoek doorloopt. De PHP Foundation beschrijft CVE-2026-109618 als out-of-memory-afhandeling die gedeeltelijk geïnitialiseerde interne gegevens kan achterlaten, die PHP later als geldig behandelt. CVE-2026-109619 beschrijft ze als een fatale fout op het verkeerde moment, waarna interne toestand naar geheugen van een eerder verzoek wijst, zodat een later verzoek op dezelfde worker vrijgegeven geheugen gebruikt. Wiz en Cloudflare noemen naast uitvoering van code op afstand en denial of service ook het lekken van procesgeheugen dat geheimen van andere verzoeken kan bevatten. Deze pagina beschrijft geen opbouw van een exploit.

• CVE-2026-109618OOM-corruptie. CVSS v4.0 9.2. GHSA-w8hw-w9fx-j79w.
• CVE-2026-109619Verouderde globale toestand. CVSS v4.0 9.2. GHSA-6wmf-4rv5-p3rp.

Welke versies

De circulerende bereiken zijn niet identiek, en ze gelijktrekken zou een nauwkeurigheid verzinnen die leveranciers niet hebben gepubliceerd. Het oss-security-bericht van het PHP-securityteam over CVE-2026-109618 noemt PHP 8.2 vóór 8.2.35, 8.3 vóór 8.3.36, 8.4 vóór 8.4.27 en 8.5 vóór 8.5.12. Dat zijn de takken met releasepakketten. Het project zei verder dat 8.1 en ouder geen upstream-ondersteuning meer hebben en dat het minimale broncode-backports voor 7.4, 8.0 en 8.1 heeft gepubliceerd.

Wiz zegt dat elke PHP-versie van ongeveer het afgelopen decennium, terug tot 5.4, door minstens één van de fouten is getroffen. Google Cloud noemt 5.4 tot en met 8.5.11, Cloudflare PHP 5.4 of nieuwer. De FAQ van watchTowr, voor het eerst gepubliceerd op 20 oktober vóór het advies van de leverancier, noemt PHP 5, 7 en 8. Expel ziet in de backports het bewijs dat 7.4, 8.0 en 8.1 getroffen zijn en zegt dat PHP zich niet over 7.3 en ouder heeft uitgesproken; Expel adviseert elke niet-ondersteunde PHP met webverkeer als risicovol te beschouwen. De versietabel zet deze uitspraken naast elkaar.

Misbruik: pogingen, geen bevestigd aantal inbraken

• AWS zegt dat een MadPot-honeypot op 17 oktober 2026, vier dagen vóór de bekendmaking, een misbruikpoging registreerde vanaf een IP van een commercieel anonimiseringsnetwerk. Op 21 oktober doken meer pogingen en proof-of-concept-exploits op, enkele uren vóór het einde van het embargo; of een daarvan op echte systemen zou zijn geslaagd, is onduidelijk. Na de patch beschrijft AWS grootschalige misbruikpogingen.
• Cloudflare zegt aanvalsverkeer te hebben gezien nadat details vóór de officiële release waren uitgelekt, en dat aanvallers payloads aanpasten om WAF-regels te omzeilen. Een aantal geslaagde compromitteringen noemt Cloudflare in het bekeken bericht niet.
• watchTowr zegt actieve misbruikpogingen op beide CVE’s te zien. SecurityWeek meldt dat watchTowr geen geslaagde pogingen heeft waargenomen.
• De CISA-waarschuwing van 21 oktober zegt dat de CISA tot de publicatie geen misbruik had waargenomen, en dringt toch aan op direct patchen.
• Expel (stand 21 oktober 2026, 20:00 UTC) had geen misbruik bij klanten bevestigd, en geen van de CVE’s stond in de KEV-catalogus van de CISA. De FAQ van watchTowr van 22 oktober vermeldt KEV nog steeds als niet opgenomen, net als Tanium voor de KEV-update van 21 oktober om 14:04 UTC. Deze website heeft de KEV-JSON-feed van de CISA op 22 oktober 2026 rond 08:05 UTC opnieuw opgevraagd: catalogusversie 2026.10.21 (gepubliceerd op 21 oktober, 14:04 UTC) bevatte nog steeds geen van beide CVE’s.

Openbare proof-of-concept-code wordt gemeld door AWS, het Canadian Cyber Centre (als open-source-melding) en Expel. Expel voegt toe dat circulerende code ongeverifieerd en deels kwaadaardig kan zijn. Wij linken er niet naar en reproduceren hem niet.

Omvang, voorzichtig bekeken

Wiz noemt als kerncijfer dat PHP de grote meerderheid van websites aandrijft; Cloudflare spreekt van bijna 70 procent. Dat is een aandeel in websites, geen aantal misbruikbare servers. De in The Record herhaalde schatting ligt rond 5,1 miljoen IP-adressen volgens een VirusTotal-analyse, met de kanttekeningen op de startpagina. ThreatCluster zegt dat ongeveer vier op de vijf herkende PHP-servers geen versie prijsgeven.

PHP zit ook in appliances en hostingpanelen. Het Britse NCSC verwijst naar een overzicht van het NCSC-NL van producten die van PHP afhankelijk zijn, als startlijst en niet als volledige inventarisatie. Google Cloud zegt dat het eigen platform als zodanig niet kwetsbaar is, maar dat klanten met PHP op App Engine, Cloud Run, GKE of Marketplace-images dat wel kunnen zijn.

De ontdekking volgens de betrokkenen

Wiz Research zegt dat de fouten meer dan tien jaar bestonden en dat frontiermodellen een exploitketen haalbaar maakten. Google Cloud noemt Wiz en zegt dat Gemini 4 Argon bijdroeg aan ontdekking, exploitontwikkeling, detectie en validatie van de patch. The Record meldt dat de PHP Foundation zei dat een AI-review in augustus 2026 voor het eerst alarm sloeg en dat er in 2024 al aanwijzingen waren. Dit zijn uitspraken van de betrokken organisaties. Aan het herstel veranderen ze niets: bijwerken.