PHP2Shell

PHP2Shell bestaat uit een tweetal ernstige kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) in versies 5.4 tot 8.5 van de programmeertaal PHP die het mogelijk maken om op afstand code uit te voeren (Remote Code Execution of RCE). Hun bestaan werd publiek aangekondigd op 20 oktober 2026. Een noodpatch voor versies 8.2, 8.3, 8.4 en 8.5 en details over de kwetsbaarheden werden de volgende dag vrijgegeven.

Ontdekking

Al vanaf PHP-versie 5.4 (uitgebracht in 2012) bestaan deze kwetsbaarheden, en hoewel er decennia eerder al bezorgdheid was geuit over bugs met betrekking tot de veiligheid, werd er destijds geen actie ondernomen omdat men niet dacht dat het ontwikkelen van een werkende exploit haalbaar zou zijn. Een PHP-kernontwikkelaar ontdekte de out-of-memory-fout achter een van de kwetsbaarheden tijdens een audit in 2024, maar de bug werd nooit verholpen; het ontwikkelingsteam kon geen consensus bereiken over hoe dit te doen en er was nog geen specifieke exploit ontdekt, waardoor het probleem geen prioriteit kreeg.

De kwetsbaarheden werden onafhankelijk van elkaar ontdekt door twee partijen: Ryan Austin, een onderzoeker bij het in Californië gevestigde beveiligingsbedrijf Calif, als onderdeel van het OpenAI "Patch the Planet"-project in augustus 2026, en het Israëlisch-Amerikaanse cloudbeveiligingsbedrijf Wiz, een dochteronderneming van Alphabet Inc. en onderdeel van Google Cloud. Austin gebruikte het GPT-5.6 Sol-model van OpenAI om te helpen bij het vinden van de kwetsbaarheid. Wiz-onderzoekers gebruikten de grote taalmodellen Gemini 4 Argon en GPT-5.6 Sol, evenals hun eigen tool, Wiz Atlas, om hun onderzoek te ondersteunen.

De kwetsbaarheid werd door PHP-ontwikkelaars beoordeeld met een score van 9,2 (kritiek) op een schaal van 10 volgens CVSS v4.0, terwijl beveiligingsbedrijf watchTowr de volledige score van 10,0 gaf.

Patches

De beheerders van PHP hebben gepatchte versies van PHP 8.2, 8.3, 8.4 en 8.5 uitgebracht. Er werden patches voor de broncode uitgebracht voor versie 7.4, 8.0 en 8.1, maar er werden geen officiële bijgewerkte binaire bestanden voor die versies uitgebracht, omdat ze als 'end of life' worden beschouwd. Er werden ook tijdelijke oplossingen gepubliceerd, maar de beheerders gaven aan dat er geen volledige oplossingen bestonden en dat bijwerken de enige veilige optie was. Beide kwetsbaarheden werden op 21 oktober 2026 om 13:34 UTC gepubliceerd via beveiligingsadviezen op GitHub, 26 minuten vóór de aangekondigde releasedatum, waarna de PHP-website kort daarna werd bijgewerkt. 

De ontwikkelaars die het onderhoud deden van PHP kondigden de update vroegtijdig aan, vóór de release, nadat het nieuws over de kwetsbaarheden op 20 oktober was uitgelekt op de Hacker News-forums, in een bericht op X van cybersecuritybedrijf watchTowr labs, en in een proof-of-concept-exploitvideo die per ongeluk door Calif was uitgebracht.

De vroege melding op PHP.net spoorde gebruikers aan zich voor te bereiden en te updaten zodra de patch werd uitgebracht. Een van de beveiligingsbedrijven, Sansec, verwachtte dat "massale aanvallen binnen 15 minuten na de release zouden beginnen". Proof-of-concept exploits, write-ups en gedeeltelijke oplossingen begonnen al vóór het einde van het embargo op internet te circuleren, nadat ontwikkelingsplatform Chainguard vroegtijdig gepatchte versies van de software had uitgebracht; hierdoor konden aanvallers vaststellen welke code was gewijzigd.

Amazon Threat Intelligence heeft een PHP2Shell-exploitatiepoging geïdentificeerd die teruggaat tot 17 oktober 2026, in MadPot-telemetrie, vier dagen vóór de openbare bekendmaking. Cloudflare meldde tekenen van vroege exploitatie vóór de release van de publieke patch en implementeerde tijdelijke webapplicatie-firewallregels (WAF-regels) als een poging tot noodmaatregel tegen de kwetsbaarheid. Beveiligingsbedrijf watchTowr zei dat het op 21 oktober via zijn honeypot-netwerk misbruik in de praktijk had waargenomen, terwijl het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) zei dat het op diezelfde dag geen misbruik had waargenomen.

Impact

Waarschuwing: de door de community beheerde tools zijn offline vanwege het PHP2Shell-incident.

Ongeveer 69% van de websites gebruikt PHP, inclusief websites die gebruikmaken van contentmanagementsystemen zoals Drupal, Joomla! en WordPress, dus de potentiële gevolgen waren wijdverspreid. PHP wordt ook meegeleverd met apparaten van leveranciers, webhostingcontrolepanelen zoals cPanel en Plesk, en sommige Windows-applicaties.

Naar aanleiding van advies van CERT-EU en het Britse National Cyber Security Centre hebben veel organisaties in heel Europa uit voorzorg hun websites offline gehaald in afwachting van de patches. Dit gold onder andere voor het Nederlandse overheidsportaal Overheid.nl, het Deense nationale communicatieplatform voor scholen, alle openbare webdiensten van de Finse overheid en alle websites van het Franse ministerie van Binnenlandse Zaken. De Amerikaanse National Security Agency adviseerde dat websites offline moesten gaan als ze niet onmiddellijk konden worden bijgewerkt. Het Britse National Cyber Security Centre gaf een soortgelijke waarschuwing uit en spoorde organisaties aan op hun hoede te zijn voor backdoors. Het Japanse Nationale Bureau voor Cyberbeveiliging adviseerde PHP-gebruikers hun systemen onmiddellijk bij te werken.

De Wikimedia Foundation heeft veel van haar ondersteunende diensten stopgezet, en de forumsites 4chan en Something Awful zijn offline gegaan. Delen van het Japanse internet vielen ook uit, waaronder games zoals Umamusume: Pretty Derby, Granblue Fantasy en Princess Connect! Re:Dive en talrijke online handelswebsites. Het Internet Archive werd kortstondig afgesloten om het probleem op te lossen.