PHP-lek php2shell: wat is PHP en waarom is het zo gevaarlijk

Een ernstig PHP-lek houdt deze week websitebeheerders wereldwijd bezig. Het gaat om twee kwetsbaarheden in PHP, die onderzoekers php2shell noemen. Via zo'n lek kan een aanvaller op afstand zijn eigen code uitvoeren op een webserver. Wat is PHP eigenlijk, hoe kan dit gebeuren en wat moet je doen?

Wat is PHP?

PHP is een programmeertaal om websites mee te bouwen. Als je een webpagina opent, draait op de server vaak een PHP-programma dat de pagina in elkaar zet. Bijvoorbeeld met je naam als je bent ingelogd, of met de producten in je winkelmandje.

PHP is enorm populair. Volgens W3Techs gebruikt 69,3 procent van alle websites waarvan de taal bekend is PHP. Bekende systemen als WordPress, Drupal, Joomla en de webwinkelsoftware Magento draaien erop. Een lek in PHP zelf raakt dus niet één website, maar mogelijk miljoenen.

Hoe kan zo'n lek ontstaan?

PHP is zelf ook software, en in software zitten fouten. Meestal vinden onderzoekers zo'n fout, melden die stil aan de makers en komt er een update voordat iemand ervan weet. Dat heet een embargo.

Dit keer ging dat mis. Op 20 oktober verscheen op het forum Hacker News een bericht dat er twee kritieke PHP-lekken aankwamen. Het bericht werd weggehaald, maar screenshots gingen rond. Beveiligingsbedrijf watchTowr bevestigde dat de lekken echt waren. Daarop haalde het PHP-team de update een dag naar voren: naar woensdag 21 oktober, 16.00 uur Nederlandse tijd.

De lekken heten officieel CVE-2026-109618 en CVE-2026-109619. PHP geeft ze een score van 9,2 op 10. Hoe ze precies werken, is nog niet bekend. PHP maakt de details pas bekend met de update.

Een groot probleem: alleen PHP 8.2 tot en met 8.5 krijgen een officiële oplossing. Versie 8.1 en ouder worden niet meer onderhouden. Volgens W3Techs draait ruim een derde van de PHP-websites nog op PHP 7 of ouder.

Wordt het lek al misbruikt?

Nog niet, voor zover bekend. Het Nationaal Cyber Security Centrum (NCSC) had woensdag nog geen actief misbruik gezien. Ook Huntress en watchTowr meldden geen aanvallen. Wel verwachten onderzoekers dat criminelen snel na de update aanvalscode maken.

Wat betekent dit voor Nederland?

Ook veel Nederlandse websites draaien op PHP. Het NCSC roept organisaties op om zich nu voor te bereiden en de update meteen te installeren. Het Utrechtse beveiligingsbedrijf Sansec, gespecialiseerd in webwinkels, schreef al een eigen analyse.

Wat kun je doen?

• Heb je een website bij een hostingbedrijf? Vraag na of ze de update installeren. Een Nederlandse hoster als Rootnet meldt dat het alle beheerde servers direct na de release bijwerkt, zonder dat klanten iets hoeven te doen.
• Beheer je zelf een server? Zoek uit welke PHP-versie je draait en installeer de update zodra die er is. Begin bij servers die vanaf internet bereikbaar zijn.
• Draai je PHP 8.1 of ouder? Plan zo snel mogelijk een overstap naar minimaal 8.2. Lukt dat niet, haal de site dan tijdelijk offline of zet hem achter een extra beveiligingslaag.
• Gewone bezoeker? Je hoeft zelf niets te doen. Het lek zit op de servers van websites, niet op je telefoon of computer.