NIEUWS

IN HET KORT: Cloudflare zag miljoenen pogingen om twee kritieke PHP-lekken uit te buiten. De lekken heten samen PHP2Shell. Aanvallers kunnen zonder inlog code op een server uitvoeren. Updaten naar een gepatchte PHP-versie is de enige complete oplossing. Miljoenen pogingen betekenen niet dat miljoenen websites zijn gehackt.

Wat is er gebeurd?

Cloudflare-topman Matthew Prince meldde de cijfers op woensdag 21 oktober op X. In de tien uur vóór de bekendmaking zag Cloudflare al duizenden pogingen. Daarna ging het snel:

45 minuten na de bekendmaking: tienduizenden pogingen.

Twee uur na de bekendmaking: honderdduizenden pogingen.

Later op woensdag en donderdagochtend: miljoenen pogingen.

Cloudflare telt pogingen en geen succesvolle hacks. Veel pogingen kunnen op dezelfde server of website zijn gericht.

Ook andere partijen zagen aanvallen. Amazon zag volgens The Register al vier dagen vóór de bekendmaking pogingen. Cisco Talos zag binnen enkele uren na de bekendmaking aanvalspogingen. Cloudflare zag aanvallers hun verzoeken aanpassen om filters te omzeilen.

Wat zijn de PHP2Shell-lekken?

De lekken hebben de codes CVE-2026-109618 en CVE-2026-109619. Beide krijgen een kritieke score van 9,2 op 10. Het gaat om fouten in de omgang met geheugen. Aanvallers kunnen op afstand code uitvoeren zonder in te loggen.

De Apache-module mod_php is volgens PHP de risicovolste opzet. Ook PHP-FPM, php-cgi, FrankenPHP en LiteSpeed zijn kwetsbaar. Onderzoekers van Calif herleiden de oudste kwetsbare code tot PHP 5.4.0. AI hielp onderzoekers de lekken na jaren te vinden.

Waarom is dit zo groot?

Bijna 70 procent van de websites met bekende servertaal draait op PHP. Ook WordPress draait op PHP. Veel kleine sites staan op shared hosting. Eigenaren weten daar vaak niet wie PHP bijwerkt.

De gevolgen waren direct zichtbaar:

Overheidswebsites in Europa gingen offline.

Het Belgische CCB adviseerde sites zonder patch offline te halen.

CERT-EU gaf hetzelfde advies voor sites die niet kunnen patchen.

De Japanse premier Sanae Takaichi riep website-eigenaren op hun PHP te controleren.

Volgens CybelAngel zijn er 2,24 miljoen PHP-hosts met internettoegang. Daarvan draait 59 procent op versies zonder officiële fix. Dat is een schatting van een beveiligingsbedrijf.

Welke PHP-versie moet je installeren?

PHP bracht de updates op 21 oktober uit. Dit zijn de gepatchte versies:

 

PHP-takGepatchte versie8.58.5.128.48.4.278.38.3.368.28.2.35

 

PHP 8.1 en ouder krijgt geen officiële release. Voor 7.4, 8.0 en 8.1 bestaan alleen minimale broncode-patches. Die zijn bedoeld voor wie PHP zelf bouwt. Sommige distributies en LTS-leveranciers bieden eigen backports.

Wat moet je nu doen?

Patch eerst servers die aan internet hangen.

Controleer welke PHP-versie je webserver echt gebruikt.

Let op: bij Ubuntu blijft het versienummer soms 8.3.6, ook na de fix.

Herstart PHP-processen na de update.

Bouw containers met PHP opnieuw.

Zoek achteraf naar sporen van misbruik.

Vraag je hostingpartij naar de patchstatus.

Kun je niet patchen? Haal de site dan tijdelijk offline. Configuratie-aanpassingen verkleinen alleen het risico. De instelling session.upload_progress.enabled=0 is zo’n tijdelijke maatregel. PHP zegt zelf dat updaten de enige complete oplossing is.

Cloudflare zette WAF-regels in voor gratis en betaalde klanten. Het bedrijf benadrukt dat dit patchen niet vervangt.

Zijn de patches volledig?

Een onderzoeker meldt extra aanvalsroutes na de patches, meldt TechPulse. Volg daarom de updates van PHP.net op. Controleer ook de adviezen van je hostingpartij.

Waarom dit nieuws ertoe doet

Het tijdvenster tussen bekendmaking en massale aanvallen wordt steeds kleiner. Hier begonnen de pogingen zelfs vóór de bekendmaking. De details lekten op 20 oktober, een dag vóór de geplande publicatie. Daardoor kwam de release eerder.

Veelgestelde vragen

Wat is PHP2Shell?
PHP2Shell is de naam voor twee kritieke PHP-lekken. Ze maken code-uitvoering op afstand mogelijk.

Zijn er miljoenen websites gehackt?
Nee. Cloudflare telt miljoenen pogingen. Dat zijn geen bevestigde inbraken.

Welke PHP-versies zijn veilig?
PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 bevatten de fix.

Is een firewall genoeg?
Nee. Een WAF helpt, maar vervangt de update niet.

Wat als ik PHP 8.1 of ouder gebruik?
Neem contact op met je leverancier of upgrade naar een ondersteunde versie.

---------------------------------------------------------------------------------------------------------------------------------------------------------------------

Bronnen

• Reuters via US News: Cloudflare sees millions of exploit attempts

• The Register: Hackers pile on PHP2Shell