Het Amerikaanse CISA heeft de twee PHP2Shell-kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, op 26 oktober toegevoegd aan zijn Known Exploited Vulnerabilities-lijst. Amerikaanse federale instanties moeten voor 29 oktober patchen. Daarmee is definitief bevestigd wat beveiligingsbedrijven al dagen vermoedden: PHP2Shell wordt actief misbruikt.
Eerste bevestigde succesvolle hack
Adel Karimi, detection-and-response-lead bij Perplexity, registreerde op 24 oktober via eigen honeypots wat hij “confirmed RCE with usable memory disclosure” noemt: geen crash, maar daadwerkelijke geheugenlekkage die een aanvaller vervolgens gebruikte. Het doelwit was een Apache mod_php-opstelling met PHP 8.4.26; het antwoord van de server lekte een 800 KB grote, gedecodeerde cookie-dump, waaruit een functieadres naar voren kwam dat later terugkeerde in een vervolgpayload. Karimi benadrukt zelf dat de test een bewust gunstige, single-worker-opstelling gebruikte en dus niets zegt over de betrouwbaarheid van het lek bij andere configuraties. Onderzoeker Marcus Hutchins van Expel bevestigde de bevindingen onafhankelijk en noemde het de “hoogste kwaliteit bevestiging van PHP2Shell-misbruik in het wild” die hij had gezien.
AI-gestuurd misbruik na een inbraak
Palo Alto Networks’ Unit 42 onderzocht een aanval op een Europese overheidsinstantie, maar trok later de eigen conclusie in dat PHP2Shell daarbij de toegangsweg was: “We kunnen niet bevestigen dat de initiële toegang samenhangt met de specifieke PHP2Shell-CVE’s.” Wel zagen de onderzoekers bij deze aanval sporen van agentic AI tijdens de fase na de inbraak: commando’s waren gegroepeerd onder secties als “==SHELLUSER==” en “==PASSWD==”, een opmaak die vooral bedoeld lijkt om de uitvoer machineleesbaar te maken voor een AI-model. Binnen ongeveer twee uur na de eerste toegang hadden de aanvallers wachtwoordhashes en mfa-geheimen buitgemaakt, een NTLM-relay-tunnel naar Active Directory opgezet en geprobeerd te escaleren naar Domain Admin.
Beveiligingsbedrijf CYFIRMA meldt daarnaast een afzonderlijke, laagvolumige scancampagne vanaf 21 gecompromitteerde knooppunten, gericht op 216 nog niet (volledig) gepatchte PHP-servers in onder meer de VS, Japan, Zuid-Korea, Thailand, Indonesië, Australië, Taiwan, India, Singapore, de VAE, Saoedi-Arabië en de EU, verspreid over overheid, financiële instellingen, logistiek, luchtvaart, productie en online betaalplatforms. CYFIRMA koppelt de campagne met gematigde zekerheid aan een aan Lazarus gelieerde operator en verwacht dat daadwerkelijk misbruik spoedig volgt.
Los van PHP2Shell zelf meldt PHP ook een tijdelijke mitigatie voor een nog niet gepatchte, afzonderlijke RCE-kwetsbaarheid, CVE-2026-115560: zet session.upload_progress.enabled op 0 tot een officiële fix beschikbaar is.
Voor Nederlandse organisaties die nog niet hebben gepatcht, is dit het signaal om er nu echt mee te stoppen: CISA’s eigen, behoudende lijst van bevestigd actief misbruikte kwetsbaarheden bevat PHP2Shell nu officieel, en de combinatie van bevestigde geheugenlekkage, AI-ondersteund misbruik na inbraak en gerichte scans door een vermoedelijk statelijke actor maakt dit geen theoretisch risico meer. Installeer PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12 (en op Windows de “-1”-builds met de Brotli-fix) vandaag nog, en zet voor de aparte, nog ongepatchte CVE-2026-115560 alvast session.upload_progress.enabled=0.
Bron: BleepingComputer, The Hacker News, Unit 42 en CYFIRMA
Wat betekent dit voor jouw bedrijf?
Draait uw organisatie nog een ongepatchte PHP-server? CISA's eigen, behoudende KEV-lijst bevat PHP2Shell nu officieel. Installeer 8.2.35, 8.3.36, 8.4.27 of 8.5.12 vandaag nog, en zet voor de aparte, nog ongepatchte CVE-2026-115560 alvast session.upload_progress.enabled op 0.
Zelfde kwetsbaarheid
PHP2Shell gecombineerd met Linux-lek 'Fragnesia': 25 servers geroot, ook Palo Alto's eigen PAN-OS geraakt
DreigingenInfraTrust-rapport waarschuwt voor actief misbruikte lekken in kritieke netwerkinfrastructuur
DreigingenKritiek PHP-lek 'PHP2Shell' legt Tweede Kamer en tientallen overheidssites plat
DreigingenPHP2Shell-update: details lekten uit vóór patch, webshops en CMS'en doelwit van scans
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.