PHP2Shell: kritieke PHP-beveiligingslekken - handel nu
Beheerders van modified eCommerce-shops moeten nu beslist controleren of hun PHP-versie en shop actueel zijn.
Onder de naam PHP2Shell zijn recent kritieke kwetsbaarheden in PHP bekend geworden die onder bepaalde omstandigheden uitvoering van code op afstand zonder voorafgaande aanmelding mogelijk kunnen maken. In het ergste geval kan een aanvaller daardoor eigen code op de webserver uitvoeren en een shop volledig compromitteren.
Wat is PHP2Shell?
Onder de naam PHP2Shell worden twee kritieke kwetsbaarheden in de PHP-kern samengevat: CVE-2026-109618 en CVE-2026-109619. Ze treffen niet alleen één bepaalde shopsoftware of uitbreiding, maar de PHP-runtime waarop talloze websites en webshops draaien.
Volgens het PHP-project kunnen de kwetsbaarheden niet-geauthenticeerde uitvoering van code op afstand mogelijk maken. Getroffen zijn PHP-installaties die webverzoeken verwerken, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. In bepaalde configuraties kan de aanval beginnen voordat de eigenlijke toepassingscode van de shop wordt uitgevoerd.
Bijzonder problematisch: dergelijk misbruik hoeft geen zichtbare veranderingen in de shop achter te laten. Daarom is alleen zoeken naar verdachte bestanden of webshells niet voldoende. De belangrijkste bescherming is het gebruik van een actuele en gecorrigeerde PHP-versie.
Onze aanbeveling
Controleer op korte termijn welke PHP-versie op uw server draait en installeer beschikbare beveiligingsupdates. Tijdelijke configuratiemaatregelen kunnen het risico verkleinen, maar vervangen een PHP-update niet.
Welke PHP-versies bevatten de beveiligingsupdate?
Het PHP-project heeft op 21 oktober 2026 beveiligingsupdates uitgebracht voor de getroffen PHP-versiereeksen. De kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 zijn in de volgende versies verholpen:
| PHP-versiereeks | Minimaal veilige versie | Beoordeling |
|---|---|---|
| PHP 8.2 | 8.2.35 of nieuwer | Beveiligingsupdate inbegrepen |
| PHP 8.3 | 8.3.36 of nieuwer | Beveiligingsupdate inbegrepen |
| PHP 8.4 | 8.4.27 of nieuwer | Beveiligingsupdate inbegrepen |
| PHP 8.5 | 8.5.12 of nieuwer | Beveiligingsupdate inbegrepen |
Wordt bijvoorbeeld PHP 8.4.26 gebruikt, dan is de officiële PHP2Shell-correctie nog niet inbegrepen. Vanaf PHP 8.4.27 is de betreffende PHP 8.4-reeks gecorrigeerd. Voor PHP 8.3 geldt overeenkomstig minimaal 8.3.36, voor PHP 8.2 minimaal 8.2.35 en voor PHP 8.5 minimaal 8.5.12.
PHP 8.1 en oudere versies ontvangen geen reguliere beveiligingsupdates meer van het officiële PHP-project. Afzonderlijke Linux-distributies of LTS-aanbieders kunnen beveiligingscorrecties echter terugporteren naar oudere pakketversies. In dat geval kan de beveiligingsstatus niet uitsluitend op basis van het getoonde PHP-versienummer worden beoordeeld. Vraag zo nodig uw hostingaanbieder of de PHP2Shell-correcties voor CVE-2026-109618 en CVE-2026-109619 in diens PHP-pakket zijn opgenomen.
Het PHP-project wijst er uitdrukkelijk op dat er geen volledige configuratieworkaround voor deze kwetsbaarheden bestaat. Een update naar een gecorrigeerde PHP-versie of een bevestigde beveiligingsbackport van de serveraanbieder is daarom de doorslaggevende maatregel.
Voor shopbeheerders betekent dit dat naast PHP zelf ook de gebruikte modified eCommerce Shopsoftware en geïnstalleerde modules en uitbreidingen regelmatig moeten worden bijgewerkt, zodat moderne PHP-versies die nog worden onderhouden kunnen worden gebruikt.
Waarom een actuele modified-shop zo belangrijk is
Verouderde shopversies zorgen er vaak voor dat beheerders oudere PHP-versies moeten blijven gebruiken, omdat individuele aanpassingen, templates of uitbreidingen niet compatibel zijn met actuele PHP-releases.
Juist daar ontstaat een beveiligingsrisico: als de shop technisch niet meer op actuele PHP-versies kan draaien, blijven belangrijke beveiligingsupdates mogelijk achterwege. Daarom moet de shopsoftware regelmatig worden bijgewerkt.
Nieuwe modified-versies verbeteren compatibiliteit, stabiliteit en veiligheid.
Ondersteunde PHP-versies ontvangen belangrijke beveiligingscorrecties.
Ook uitbreidingen en individuele aanpassingen moeten PHP-compatibel blijven.
Checksum-, malware- en bestandsrechtencontroles helpen manipulaties op te sporen.
Wat shopbeheerders nu moeten doen
- Gebruikte PHP-versie controleren
- Beschikbare PHP-beveiligingsupdates installeren
- Controleren of modified eCommerce Shopsoftware actueel is
- Geïnstalleerde modules en individuele aanpassingen controleren
- Checksum- en malwarescan uitvoeren
- Verdachte bestandswijzigingen en ongebruikelijke serveractiviteiten onderzoeken
- Zorgen voor regelmatige back-ups en updates
Belangrijk
Een malware- of checksumscanner kan verdachte bestanden en achteraf aangebrachte manipulaties herkennen. Hij kan echter niet garanderen dat een server niet al via een kwetsbaarheid is gecompromitteerd. Beveiligingsupdates voor PHP en de shopsoftware blijven daarom onmisbaar.
Ondersteuning bij updates van modified eCommerce Shopsoftware
Draait uw modified eCommerce Shopsoftware nog op een oudere versie of kan deze niet zomaar op een actuele PHP-versie worden overgezet?
Wij ondersteunen u graag bij het bijwerken van uw modified eCommerce-shop. Desgewenst controleren wij ook bestaande modules, templates en individuele aanpassingen op compatibiliteit en brengen wij de shop op een technisch actuele basis.
Zo schept u de voorwaarden om ook actuele PHP-versies met beveiligingsonderhoud te kunnen gebruiken.
Shop verouderd of PHP-update niet mogelijk?
Neem contact met ons op. Wij ondersteunen u bij updates, PHP-compatibiliteit en de technische modernisering van uw modified eCommerce-shop.
Neem nu contact op