Tijdlijn
PHP2Shell-tijdlijn: lek, patches en misbruikpogingen
De tijden staan zoals de geciteerde bron ze opgeeft. ENISA’s 13:40 UTC en het embargo van 14:00 UTC van AWS staan hier allebei, omdat beide documenten bestaan. Dit is geen incidentlogboek van eigen sensoren.
Laatst bijgewerkt
2024, daarna augustus 2026
Vroege aanwijzingen volgens de PHP Foundation
The Record meldt dat de PHP Foundation zei dat aanwijzingen van de fouten in 2024 opdoken en dat een AI-review in augustus 2026 voor het eerst alarm sloeg. Verder dan de weergave van The Record hebben wij deze interne tijdlijn niet nagegaan.
17 oktober 2026
AWS-MadPot-poging tijdens het embargo
Amazon Threat Intelligence zegt dat een honeypot een PHP2Shell-misbruikpoging zag vanaf een adres van een commercieel anonimiseringsnetwerk – vier dagen vóór de bekendmaking. Hoe de exploitinformatie naar buiten kwam, is onduidelijk, net als of de poging op een echt systeem zou hebben gewerkt.
20 oktober 2026
Berichten over het lek en aankondiging van een noodrelease
De FAQ van watchTowr is gedateerd 19:35 UTC en rekende toen op een aankondiging van de leverancier op 22 oktober. Volgens Tanium kondigde PHP op 20 oktober na het lek een noodrelease aan, en gaf CERT-EU advies 2026-018 uit met het advies publiek bereikbare PHP-apps te isoleren; dit gegeven komt alleen van Tanium. ThreatCluster zegt dat de ongeplande release op 20 oktober werd aangekondigd voor 21 oktober, 14:00 UTC, en dat technische details uren eerder uitlekten.
21 oktober 2026, 02:00–08:00 UTC
Proof-of-concept-exploits vóór het einde van het embargo
Volgens AWS doken de vroegste proof-of-concept-exploits rond 02:00 UTC op, met verdere MadPot-pogingen vanaf andere geanonimiseerde infrastructuur tot ongeveer 08:00 UTC. Verschillende payloads en infrastructuur duidt AWS als meerdere actoren. Het succes op echte systemen werd als onduidelijk beschreven.
21 oktober 2026, 03:02 UTC
Cloudflare-WAF-regels al actief
Volgens Cloudflare waren klanten met gratis en betaalde WAF-abonnementen vanaf 03:02 UTC standaard beschermd, volgens Cloudflare zo’n negen uur vóór de bekendmaking; de regels waren sinds begin oktober ontwikkeld met de PHP Foundation, Wiz en OpenAI. Cloudflare zag aanvalsverkeer en tegen de regels gerichte aanpassingen van payloads.
21 oktober 2026, 13:40 en 14:00 UTC
Patches verschijnen
Volgens de gezamenlijke verklaring van ENISA publiceerde het PHP-securityteam de updates om 13:40 UTC. AWS zegt dat het embargo op 14:00 UTC stond en dat de release toen volgde. php.net, de PHP Foundation, de CISA en het Canadian Cyber Centre noemen als fix-versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Tanium noemt daarnaast Windows-builds om 13:47 UTC en een NVD-vermelding om 14:17 UTC; deze tijden hebben wij niet zelf gecontroleerd.
21 oktober 2026, later op de dag
Waarschuwingen van overheden en uitspraken over misbruik
CISA, ENISA, het Britse NCSC en het Canadian Centre for Cyber Security publiceren waarschuwingen. De CISA had tot de publicatie geen misbruik waargenomen. Het Canadese centrum noemt open-source-berichten over een PoC, zonder zelf actief misbruik te hebben vastgesteld. watchTowr meldt pogingen op zijn sensoren; volgens SecurityWeek zonder geslaagd misbruik. Stand van Expel om 20:00 UTC: geen CVE in KEV, geen bevestigd misbruik bij klanten. AWS spreekt na het embargo van grootschalig misbruik – bedoeld zijn pogingen met de nieuwe PoC’s –, los van bevestigd succes op echte systemen.
22 oktober 2026
Redactiesluiting van deze website
De FAQ-update van watchTowr van die dag vermeldt CISA KEV nog steeds als niet opgenomen. Onze pagina’s berusten op de bronnen die op 22 oktober 2026 beschikbaar waren. Komt later een KEV-opname of een bevestigde inbraak bij, dan hebben de adviezen van CISA en het PHP-project voorrang op deze tijdlijn.
De praktische conclusie van AWS geldt ook als afzonderlijke tijdstippen afwijken: ga er niet van uit dat de datum van bekendmaking de eerste datum van misbruik is, en plan voor een kritiek, publiek bereikbaar lek van dit soort geen venster van weken. Was deze software blootgesteld, onderzoek dan minstens vanaf 17 oktober.
Bronnen
Externe links verlaten deze site. Wij hosten geen exploitcode.
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record
- PHP2Shell: responding to CVE-2026-109618 and CVE-2026-109619 — Tanium
- FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- Joint statement on critical PHP vulnerabilities — ENISA
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- Critical security issue affecting PHP — UK NCSC
- AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
- PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research