Twee kritieke kwetsbaarheden in PHP, CVE-2026-109618 en CVE-2026-109619, dwongen woensdag 21 oktober de Tweede Kamer, het NCSC en tientallen andere Nederlandse en Europese overheidswebsites om uit voorzorg offline te gaan. Onderzoekers van Palo Alto Networks noemen de combinatie inmiddels “PHP2Shell”: een aanvaller kan zonder inloggegevens volledige controle over een kwetsbare server krijgen. Beide lekken scoren 9,2 op de CVSS 4.0-schaal.
Wat is er mis
CVE-2026-109618 ontstaat doordat foutafhandeling bij geheugentekort via de functie longjmp() verkeerd verloopt, waardoor PHP verdergaat met gedeeltelijk geïnitialiseerd geheugen. Vooral installaties met mod_php onder Apache lopen risico: een aanvaller kan dit al uitlokken voordat de eigen applicatiecode draait. CVE-2026-109619 zit in de afhandeling van fatale fouten, waarbij globale status in het geheugen blijft bestaan nadat het achterliggende geheugen alweer is vrijgegeven. Een volgend verzoek op dezelfde PHP-worker gebruikt die ongeldige status dan alsnog. Palo Alto Networks zegt werkende proof-of-concept-code te hebben gezien en telt via de eigen Cortex Xpanse-telemetrie wereldwijd ruim 22,6 miljoen mogelijk kwetsbare PHP-installaties, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed.
Patches beschikbaar, discussie over actief misbruik
De PHP-ontwikkelaars brachten dezelfde dag patches uit: PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12 verhelpen beide lekken. Wie nog op PHP 7.4, 8.0 of 8.1 draait en zelf vanaf broncode bouwt, krijgt een minimale noodpatch; die versies krijgen verder geen ondersteuning meer en PHP 8.2 bereikt op 31 december sowieso het einde van de levensduur. Over actief misbruik lopen de meldingen uiteen: Reuters meldde berichten over aanvallers die al bezig waren met inbreken, terwijl het Nederlandse NCSC in zijn eigen advisory op het moment van schrijven zegt nog geen actief misbruik te hebben waargenomen. Ook de Finse overheidsdienst Valtori, die uit voorzorg eigen sites offline haalde, zag geen sporen van misbruik.
Tweede Kamer en NCSC’s eigen site offline
In Nederland gingen onder meer de websites van de Tweede Kamer, MijnOverheid, voetbalclub Fortuna Sittard, politievakbond ACP, apothekersorganisatie KNMP, vervoerder EBS, delen van het gedeelde ICT-netwerk voor hoger onderwijs en onderzoek, en zelfs de eigen website van het NCSC tijdelijk offline. Een woordvoerder van de Tweede Kamer bevestigde de sluiting: de kwetsbaarheden “raken wereldwijd websites en maken het mogelijk een server op afstand over te nemen.” Het NCSC adviseerde organisaties niet te wachten tot ze zelf zijn gepatcht, maar nu al te inventariseren welke internet-gekoppelde systemen PHP gebruiken: “iedere PHP-installatie die vanaf het publieke internet bereikbaar is, moet tot het patchen als kwetsbaar worden beschouwd.” Ook in België gingen de Vlaamse overheid en het Vlaams Parlement uit voorzorg plat, aangekondigd als regulier onderhoud zonder dat de PHP-lekken daarbij werden genoemd.
Voor Nederlandse bedrijven en instellingen met een eigen server is de boodschap simpel: installeer zo snel mogelijk PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12, of vraag de hostingpartij na of dat al is gebeurd. Kan dat vandaag nog niet, dan helpt het zetten van memory_limit op -1 tegen CVE-2026-109618, en het uitzetten van session.upload_progress gevolgd door een herstart van alle PHP-workers tegen CVE-2026-109619, om een deel van de bekende aanvalspaden af te sluiten. De PHP-groep zelf benadrukt dat dit geen vervanging is voor de update zelf. Draait een website op gedeelde hosting of een beheerd WordPress-platform, dan ligt patchen doorgaans bij de leverancier, maar is navraag vandaag geen overbodige luxe. Bent u zelf geen beheerder maar bezoeker van een getroffen site, lees dan hier wat dit voor uw gegevens betekent.
Update: de technische details van PHP2Shell bleken al vóór de officiële patch publiek gelekt, en meerdere beveiligingsbedrijven melden inmiddels concrete scans en aanvalspogingen, met extra risico voor webshops op Magento, Shopware en WooCommerce. Lees hier de volledige update.
Bron: PHP.net, NCSC, Unit 42 (Palo Alto Networks) en NL Times
Wat betekent dit voor jouw bedrijf?
Beheert u zelf een server met PHP (WordPress, Drupal, Magento of maatwerk), installeer dan met spoed PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12. Draait u op hosting of een SaaS-pakket, vraag uw leverancier vandaag nog expliciet na of en wanneer is gepatcht.
Zelfde kwetsbaarheid
PHP2Shell gecombineerd met Linux-lek 'Fragnesia': 25 servers geroot, ook Palo Alto's eigen PAN-OS geraakt
DreigingenInfraTrust-rapport waarschuwt voor actief misbruikte lekken in kritieke netwerkinfrastructuur
DreigingenCISA bevestigt actief misbruik PHP2Shell: eerste succesvolle hack vastgesteld, federale patchplicht
DreigingenPHP2Shell-update: details lekten uit vóór patch, webshops en CMS'en doelwit van scans
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.