Hackers misbruiken al kritiek PHP-lek 'php2shell', NÚKIB waarschuwt beheerders
Beveiligingsonderzoekers zagen al een dag na de onthulling van de kritieke PHP-kwetsbaarheid php2shell de eerste misbruikpogingen. De Tsjechische toezichthouder NÚKIB roept webbeheerders op direct te updaten; ook elders in Europa gingen overheidswebsites preventief offline.
Beveiligingsonderzoekers zagen al op woensdag 21 oktober 2026 de eerste aanwijzingen dat aanvallers een kritiek PHP-lek actief probeerden te misbruiken. Dat was één dag na de publieke onthulling van het lek. PHP is de taal waarin wereldwijd ontelbare websites zijn geschreven. Veel organisaties hadden hun systemen op dat moment nog niet bijgewerkt. Sommige beveiligingsbedrijven zagen al misbruikpogingen vlak voordat de patch uitkwam.
Het lek, door onderzoekers php2shell genoemd, bestaat uit twee kritieke kwetsbaarheden. Ontwikkelaars van PHP onthulden ze dinsdag 20 oktober 2026, als CVE-2026-109618 en CVE-2026-109619, met een CVSS-score van 9,2 op een schaal tot 10. Zo’n CVE-nummer is de internationale standaardnaam die beveiligingsonderzoekers aan een kwetsbaarheid geven. Bedrijven en toezichthouders spreken daardoor wereldwijd over precies dezelfde fout. Een aanvaller kan met de twee fouten zonder in te loggen op afstand willekeurige code uitvoeren op een kwetsbare server. Vooral servers die mod_php gebruiken, een manier om PHP binnen de webserver Apache te draaien, lopen al risico. Dat risico ontstaat voordat de eigen applicatiecode van een website in actie komt. Apache is wereldwijd een van de meest gebruikte softwarepakketten om websites te hosten. De combinatie met mod_php komt daardoor op veel servers voor, van kleine bedrijfssites tot grotere overheidsportalen.
Een dag na de onthulling, op woensdag 21 oktober, bracht het PHP-project updates uit die de twee fouten herstellen. Het gaat om de releases 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Beheerders die nog een oudere versie draaien lopen risico. Voor PHP 8.1 en eerder komen van het PHP-project geen updates meer.
De Tsjechische cyberbeveiligingstoezichthouder NÚKIB bewaakt de digitale veiligheid van de Tsjechische staat en adviseert overheidsdiensten en bedrijven over dreigingen. NÚKIB riep naar aanleiding van het lek beheerders van websites op hun PHP-installatie onmiddellijk bij te werken. Zowel de reparatie als de technische informatie om de twee kwetsbaarheden te misbruiken was namelijk al openbaar beschikbaar. NÚKIB adviseerde beheerders bovendien te controleren op ongewone processen die door PHP-diensten op hun server worden gestart. Dat kan een signaal zijn dat een systeem al via php2shell is binnengedrongen.
Het Israëlische beveiligingsbedrijf Wiz, onderdeel van techconcern Alphabet, spoorde de twee fouten mede op. Volgens Wiz verlaagden ‘frontier’-AI-modellen de drempel sterk om de decennia oude fout tot een werkend exploit te verwerken. Zonder die AI-ondersteuning waren de kwetsbaarheden volgens Wiz zelf zeer moeilijk te ontdekken geweest.
Niet alleen in Tsjechië nam de overheid voorzorgsmaatregelen. Ook instanties in Frankrijk, Nederland, Finland en Denemarken schakelden uit voorzorg delen van hun websites uit. Geen van hen meldde een daadwerkelijke inbraak. In Frankrijk ontkoppelde het ministerie van Binnenlandse Zaken de sites van lokale prefecturen. In Finland zette staatsdienstverlener Valtori tijdelijk publieke onlinediensten stil.
PHP drijft volgens Wiz ongeveer 70 procent van alle websites wereldwijd aan, onder meer via platforms als WordPress, Drupal, Joomla en Magento. Dat betekent niet dat al die sites voor php2shell kwetsbaar zijn. Het betekent wel dat trage updates snel grote aantallen sites kunnen raken. Organisaties met weinig technische capaciteit blijven volgens beveiligingsexperts langer kwetsbaar. De updates naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12 blijven voorlopig het enige middel tegen de twee kwetsbaarheden.
Bronnen
- NÚKIB: Webům hrozí napadení kvůli chybám v jazyce PHP, Úřad vlády odstavil své stránky — CNN Prima News,
- Umělá inteligence odhalila slabiny v programovacím jazyce, vlády odstavovaly weby — Aktuálně.cz,
- NÚKIB doporučil webům s PHP rychlou aktualizaci — Echo24,
- NÚKIB doporučil webům s PHP aktualizaci, Úřad vlády odstavil web — ČTK (České noviny),
- Výpadky webů rady vlád ohrožovaly je programovací chyby — Blesk.cz,
- NÚKIB upozorňuje na kritické zranitelnosti v PHP — Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB),
- PHP: Hypertext Preprocessor — The PHP Group (php.net),
- php2shell: PHP vulnerabilities patched (CVE-2026-109618, CVE-2026-109619) — Help Net Security,
- php2shell: Mass Exploitation Looms for Leaked Critical PHP Flaws — SecurityWeek,
- PHP Vulnerability 'php2shell' Issue Websites Hack Server — Newsweek,
Methodiek
Dit artikel is door een AI-systeem geschreven op basis van feiten uit nieuwsmedia in Tsjechië en openbare bronnen, met de bron bij elk feit, en gecontroleerd volgens onze methodologie. De auteursnaam is een redactioneel pseudoniem. Fouten? Meld ze via de contactpagina.
4/8 feiten bevestigd door een openbare bron · 4 gemeld door nieuwsmedia · betrouwbaarheid 80%
Beeld: Cvvaecc · Wikimedia Commons · CC BY
- Beveiligingsonderzoekers meldden al op woensdag 21 oktober 2026, een dag na de publieke onthulling, de eerste aanwijzingen dat aanvallers actief probeerden de twee php2shell-kwetsbaarheden te misbruiken, nog voordat veel organisaties de reparatie hadden doorgevoerd; sommige beveiligingsbedrijven zagen al misbruikpogingen vlak voor de patch uitkwam. gemeld door nieuwsmedia: cnn.iprima.cz, securityweek.com · gecontroleerd
- Ontwikkelaars van de programmeertaal PHP onthulden dinsdag 20 oktober 2026 twee kritieke kwetsbaarheden, onderling php2shell genoemd (CVE-2026-109618 en CVE-2026-109619, CVSS-score 9.2), die een aanvaller zonder inlog toegang geven om op afstand willekeurige code op een kwetsbare server uit te voeren. Vooral servers die mod_php gebruiken, lopen risico al voordat de eigen applicatiecode draait. The PHP Group (php.net) · gecontroleerd
- Een dag na de bekendmaking, op woensdag 21 oktober 2026, brachten de PHP-ontwikkelaars updates uit die de twee kwetsbaarheden herstellen, voor de releases 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Beheerders die nog een oudere versie draaien, lopen risico; PHP 8.1 en ouder krijgen van het PHP-project geen updates meer. The PHP Group (php.net) · gecontroleerd
- De Tsjechische cyberbeveiligingstoezichthouder NÚKIB riep beheerders van websites op hun PHP-installatie onmiddellijk bij te werken, omdat zowel de reparatie als de technische informatie om de twee kwetsbaarheden te misbruiken al openbaar beschikbaar was. NÚKIB · gecontroleerd
- NÚKIB adviseerde beheerders te controleren op ongewone processen die door PHP-diensten op hun server worden gestart, als mogelijk signaal dat een systeem al via de php2shell-fouten is binnengedrongen. NÚKIB · gecontroleerd
- Het beveiligingsbedrijf Wiz, dat de twee PHP-fouten mede opspoorde, meldde dat 'frontier'-AI-modellen de drempel om de decennia oude fout tot een werkend exploit te verwerken sterk verlaagden; zonder die AI-ondersteuning waren de kwetsbaarheden naar eigen zeggen zeer moeilijk te ontdekken geweest. gemeld door nieuwsmedia: zpravy.aktualne.cz, helpnetsecurity.com · gecontroleerd
- Naast Tsjechië schakelden ook overheidsinstanties in Frankrijk, Nederland, Finland en Denemarken preventief delen van hun websites uit, zonder dat een van hen een daadwerkelijke inbraak meldde. In Frankrijk ontkoppelde het ministerie van Binnenlandse Zaken de sites van lokale prefecturen, en in Finland zette staatsdienstverlener Valtori tijdelijk publieke onlinediensten stil. gemeld door nieuwsmedia: blesk.cz, newsweek.com · gecontroleerd
- Beveiligingsbedrijf Wiz schat dat PHP ongeveer 70 procent van alle websites wereldwijd aandrijft, onder meer via platforms als WordPress, Drupal, Joomla en Magento; dat betekent niet dat al die sites voor php2shell kwetsbaar zijn, maar wel dat trage updates snel grote aantallen sites kunnen raken. Vooral organisaties met weinig technische capaciteit blijven volgens beveiligingsexperts langer kwetsbaar. gemeld door nieuwsmedia: cnn.iprima.cz, newsweek.com · gecontroleerd
Vaker Tsjechië Vandaag in Google? Kies ons als voorkeursbron
_Z6omP7.webp)