Op 20 oktober 2026 kondigde het PHP-team een kritieke beveiligingsupdate aan. Een dag later, op 21 oktober, volgden de details en de patches. Het gaat om PHP2Shell: twee kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) die een aanvaller toelaten om op afstand code uit te voeren op een webserver, zonder in te loggen. Beide kregen een CVSS-score van 9.2 (kritiek). Volgens onderzoekers zijn versies van PHP 5.4 tot en met PHP 8 getroffen.
PHP draait onder een groot deel van het internet, waaronder WordPress en tal van webapplicaties.
Wat is PHP2Shell?
PHP2Shell bestaat uit fouten in het geheugenbeheer van de PHP-engine zelf. Een aanvaller kan via een gewone webaanvraag code laten uitvoeren op de server. Dat betekent in het slechtste geval volledige controle over de webserver, toegang tot data en een opstap naar de rest van het netwerk.
De opgeloste versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor oudere versies (7.4 tot 8.1) bestaan er geen officiële releases meer, wel minimale backports van het PHP-beveiligingsteam.
Onze reactie bij XVE
Bij XVE zaten we er van bij het begin kort op. Zodra het PHP-team de kritieke release aankondigde, en dus nog voor er details of een patch beschikbaar waren, hebben onze engineers de impact op onze volledige serverinfrastructuur in kaart gebracht en mitigerende maatregelen genomen.
Het resultaat: onze dienstverlening is op geen enkel moment onderbroken geweest.
Ook in de periode zonder officiële patch bleven al onze systemen operationeel, terwijl de kritieke onderdelen afgeschermd en ingeperkt waren.
Toen de officiële patch op 21 oktober vrijkwam, stonden we klaar.
Binnen een half uur was onze volledige serverinfrastructuur gepatcht en weer volledig operationeel.
Zo pakten we het concreet aan:
1. Snelle detectie en inventaris
Meteen na de aankondiging hebben we in kaart gebracht waar PHP draait in onze omgeving. Welke servers, welke versies en welke toepassingen publiek bereikbaar zijn. Zo wisten we binnen korte tijd precies welke systemen prioriteit hadden en waar het risico het grootst was.
2. Mitigatie zonder downtime
In afwachting van de officiële patch hebben we de kritieke onderdelen ingeperkt en afgeschermd. We hebben de blootstelling van kwetsbare systemen beperkt, zonder onze diensten stil te leggen. Klanten en medewerkers konden gewoon verder werken, terwijl de aanvalsmogelijkheden tot een minimum herleid waren.
3. Gecontroleerde uitrol van de patch
Omdat de voorbereiding al gebeurd was, konden we de officiële patch meteen uitrollen zodra die beschikbaar was. Binnen een half uur was onze volledige serverinfrastructuur bijgewerkt. Na de uitrol hebben we gecontroleerd of alle systemen effectief op een veilige versie draaiden en alle diensten correct functioneerden.
4. Verhoogde waakzaamheid
Ook na het patchen blijven we alert. We monitoren onze systemen extra op verdachte activiteit en tekenen van misbruik. Zo zijn we zeker dat er ook in de periode voor de patch niets is misgelopen.
Wat betekent dit voor onze klanten?
Vanuit XVE.IT, XVE.Agency en XVE.Dev volgen we dit actief op voor de omgevingen en websites die wij beheren.
Heeft u een website, webshop of applicatie op PHP en twijfelt u of u veilig bent?
Neem gerust contact met ons op. We kijken het graag voor u na.
Ons advies
Update PHP zo snel mogelijk naar een gepatchte versie.
Draait u nog een verouderde PHP-versie? Plan dan een upgrade in.
Controleer uw servers op tekenen van misbruik.
Bij XVE nemen we beveiliging ernstig.
Snel reageren, proactief beschermen en helder communiceren: zo houden we onze en uw omgeving veilig.
Ons team staat voor u klaar.
Luka Ver Eecke en Bram Vanden Broeck
