PHP-lek legt tientallen Nederlandse websites plat: wat is PHP2Shell?

In dit artikel:

Op woensdag 21 oktober gingen tientallen Nederlandse websites uit voorzorg offline nadat ernstige kwetsbaarheden in PHP, een programmeertaal die op bijna 70 procent van de websites wordt gebruikt, voortijdig waren uitgelekt. Ook DigiD, MijnOverheid, de Tweede Kamer, het NCSC, RTL en delen van het SURF-netwerk werden tijdelijk uitgeschakeld. Scientias.nl bleef tot 2.30 uur de volgende ochtend offline.

De twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, kregen van het PHP-beveiligingsteam een ernstscore van 9,2. Ze maken mogelijk dat aanvallers op afstand code uitvoeren zonder eerst in te loggen. Daardoor kunnen zij bijvoorbeeld gegevens uit het geheugen lezen of controle krijgen over onderdelen van een server. Het probleem zit in PHP zelf en niet in systemen zoals WordPress, Drupal of Joomla die erop draaien.

De geplande bekendmaking van de lekken stond op 22 oktober, maar berichten op Hacker News en een uitgelekte afbeelding van een aanvalstool maakten het risico eerder openbaar. Het PHP-team bracht de reparaties daarom een dag eerder uit. Onderzoekers toonden inmiddels aan dat de kwetsbaarheden daadwerkelijk misbruikbaar zijn. Cloudflare zag kwaadaardig verkeer, al is niet vastgesteld dat aanvallers succesvol systemen hebben overgenomen.

De fouten ontstaan door problemen met geheugenbeheer, waaronder een zogenoemde use-after-free. Daarbij gebruikt PHP geheugen dat al is vrijgegeven, waardoor een aanvaller eigen instructies kan laten uitvoeren. De kwetsbaarheden gaan volgens de berichtgeving terug tot PHP 5.4 uit 2012 en treffen dus ook oudere installaties.

Voor PHP 8.2 tot en met 8.5 verschenen updates: respectievelijk versies 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Alleen de websitesoftware bijwerken is niet genoeg; ook PHP zelf moet worden gepatcht. Veel internetdiensten draaien echter nog op oudere, niet regulier ondersteunde versies. Daarvoor zijn soms patches van Linuxleveranciers of gespecialiseerde aanbieders beschikbaar, maar anders moeten beheerders migreren. Het incident versterkt bovendien de discussie over het gebruik van geheugenveilige programmeertalen, zoals Rust, voor kritieke internetsoftware.