PHP2Shell: wat het PHP-lek betekent voor je website

Op 21 oktober 2026 bracht PHP noodupdates uit voor twee kritieke lekken, samen PHP2Shell genoemd. Draait je website op PHP, dan gaat dit je aan. En dat is bij de meeste websites zo: WordPress, WooCommerce, Joomla, Laravel en de meeste maatwerksites draaien erop.

Het goede nieuws: het lek is gedicht. Het minder goede nieuws: er werd al misbruik gemeld voor de fix er was, en heel wat websites draaien op een PHP-versie die nooit meer een fix krijgt. In dit artikel lees je wat er aan de hand is, welke versies veilig zijn, hoe je merkt dat je site geraakt werd en wat je dan doet.

Wat er aan de hand is

PHP2Shell bestaat uit twee lekken, gekend als CVE-2026-109618 en CVE-2026-109619. Beide kregen een score van 9.2 op 10, wat in de praktijk betekent: zo snel mogelijk dichten.

Het probleem zit niet in WordPress, een thema of een plug-in, maar in PHP zelf. Het gaat over de manier waarop PHP met geheugen omgaat wanneer een verzoek halverwege misloopt. Een aanvaller kan dat uitlokken met een bewust foutief verzoek. Lukt het, dan kan die eigen code op de server laten draaien, gegevens lezen die niet voor hem bedoeld zijn of de website platleggen.

Voor de fix verscheen, circuleerde er al code om een van de lekken te misbruiken, en beveiligingsonderzoekers zagen pogingen in het wild. Het is dus geen theoretisch risico.

Welke PHP-versies veilig zijn

Elke versie van voor de fix is kwetsbaar, tot ver terug. Dit zijn de versies waarin het lek gedicht is:

Die laatste rij is de belangrijkste. PHP 8.1 en oudere versies krijgen van PHP geen beveiligingsupdates meer. Een website die daarop draait, blijft kwetsbaar, voor dit lek en voor elk volgend lek.

Eén nuance: sommige hostingpartijen zetten de fix in de versie die je al draait, zonder dat het versienummer verandert. Toont je site nog 8.5.11, dan is dat niet per se fout. Vraag in dat geval aan je hostingpartij of de fix van 21 oktober in jouw PHP zit.

Hoe je merkt dat je site geraakt is

Een aanval laat niet altijd sporen na die je meteen ziet. Let op deze signalen, zeker als je site de voorbije weken op een kwetsbare versie draaide:

• Bezoekers worden doorgestuurd naar spam, gokken of nepwinkels, vaak alleen vanaf Google of op een gsm.
• Er staan beheerders of gebruikers in je CMS die je niet kent.
• Er duiken bestanden op die je niet herkent, zeker PHP-bestanden tussen je afbeeldingen of uploads.
• Je website wordt plots traag of je hosting meldt een veel hoger verbruik.
• Je domein verstuurt mails die je niet verstuurd hebt, of je mails komen in spam terecht.
• Google toont een waarschuwing bij je site, of Search Console meldt een beveiligingsprobleem.
• Je antivirus of browser blokkeert je eigen website.

Zie je een van deze dingen, ga er dan van uit dat er iemand binnen was, ook als alles op het eerste gezicht weer normaal lijkt.

Wat je doet als je site geraakt werd

Paniek helpt niet, volgorde wel. Dit is de volgorde die ik zelf aanhoud:

1. Laat eerst het lek dichten. Zolang de kwetsbare versie draait, kan dezelfde aanval morgen opnieuw. Opruimen zonder te updaten is dweilen met de kraan open.
2. Bewaar een kopie van hoe het nu is. Voor je iets verwijdert: een volledige kopie van bestanden en database, zodat je later kan nagaan wat er gebeurd is.
3. Wijzig alle wachtwoorden en sleutels. Hosting, FTP of SFTP, database, e-mail, alle beheerders in je CMS, en API-sleutels van betaalproviders of andere koppelingen. Het lek laat toe gegevens uit het geheugen te lezen, dus ga ervan uit dat wat in je configuratie stond, gezien is.
4. Ruim grondig op. Verwijder onbekende gebruikers en bestanden, en zet de kern van je CMS, je thema en plug-ins opnieuw vanuit een propere bron. Een back-up van voor de aanval terugzetten kan ook, maar dan pas nadat het lek gedicht is.
5. Kijk na wat er buiten je bestanden veranderd is. Geplande taken, doorverwijzingen, DNS-records en e-mailinstellingen worden vaak aangepast om later terug binnen te geraken.
6. Vraag Google om een nieuwe controle. Had je site een waarschuwing, dan vraag je in Search Console een herbeoordeling aan zodra alles proper is.
7. Denk aan je klanten. Kon de aanvaller persoonsgegevens inkijken, zoals bestellingen, accounts of formulieren, dan moet je dat als datalek binnen 72 uur melden: in België bij de Gegevensbeschermingsautoriteit, in Nederland bij de Autoriteit Persoonsgegevens.

Twijfel je of je site geraakt is? Behandel het dan alsof hij het was. Wachtwoorden wijzigen kost een kwartier; een aanvaller die maanden ongemerkt blijft, kost veel meer.

Waarom zoveel websites op een oude PHP-versie blijven hangen

Als updaten zo belangrijk is, waarom draaien dan nog zoveel sites op PHP 8.1 of ouder? Meestal niet uit onwil. Een oude site breekt bij een nieuwere PHP-versie: een plug-in die al jaren niet meer bijgewerkt is, een thema van een maker die gestopt is, of maatwerk dat geschreven werd voor een versie van tien jaar geleden. Dus blijft de versie staan, tot er een lek als dit voorbijkomt.

Daar zit het echte risico. Niet dit ene lek, maar een website die niet meer mee kan. PHP 8.2 krijgt nog fixes tot 31 december 2026. Draait je site daarop, dan is dit het moment om te plannen, niet in januari.

Hoe ik je kan helpen

Ik werk sinds 2006 met PHP en bouw mijn eigen sites in de nieuwste versie. Als je site geraakt werd of op een oude versie vastzit, kan ik op drie manieren helpen:

• Je PHP-versie verhogen. Ik test je site eerst op een testomgeving met de nieuwe versie, pas aan wat breekt en zet pas over als alles werkt. Geen verrassingen op je live site.
• Opruimen na een aanval. Ik zoek uit wat er gebeurd is, ruim op, wijzig wat gewijzigd moet worden en zet de beveiliging strakker. Een beveiligingsronde kost €300, eenmalig.
• Je site herschrijven. Hangt je site aan elkaar met verouderde plug-ins of code die niemand meer begrijpt, dan bouw ik hem opnieuw in lichte, moderne PHP. Sneller, veiliger en klaar voor de volgende jaren, met dezelfde teksten en adressen zodat je je plaats in Google houdt.

Wil je daarna niet meer wakker liggen van het volgende lek? Met onderhoud aan €50 per maand houd ik je PHP-versie, je software en je back-ups bij, en hoor je van mij voor je het in het nieuws leest.

Twijfel je of jouw site veilig is? Stuur me een bericht met het adres van je website. Ik kijk het gratis na en zeg je eerlijk of er iets moet gebeuren.