Beveiliging · 4 november 2026
Kritieke PHP2Shell kwetsbaarheden maken ongeautoriseerde programma-uitvoering mogelijk
De programmeertaal PHP is getroffen door een reeks ernstige kwetsbaarheden onder de naam PHP2Shell. Deze fouten kunnen ervoor zorgen dat niet-ingelogde derden programma's op een server kunnen uitvoeren wanneer aan bepaalde voorwaarden wordt voldaan.
De PHP2Shell groep bestaat uit twee specifieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Omdat het probleem in de kern van de software zit en niet in specifieke plug-ins of websites, is de potentiële impact zeer groot. De ontwikkelaars van PHP hebben de ernst van deze kwetsbaarheden beoordeeld met een score van 9,2 volgens CVSS v4.0, wat wordt geclassificeerd als urgent.
Op 21 oktober werden herstelde versies uitgebracht, namelijk 8.5.12, 8.4.27, 8.3.36 en 8.2.35. De CISA heeft organisaties dringend opgeroepen om deze updates onmiddellijk toe te passen. Ook de IPA en JPCERT/CC hebben waarschuwingen uitgegeven. De CISA voegde beide kwetsbaarheden op 26 oktober toe aan de Known Exploited Vulnerabilities catalogus, wat aangeeft dat er betrouwbaar bewijs is voor pogingen tot misbruik of succesvol misbruik in echte omgevingen.
De aanvalsroutes variëren per configuratie. Bij het gebruik van Apache mod_php is aangetoond dat een route bestaat die wordt bereikt voordat de applicatiecode start. Bij PHP-FPM is remote code execution via applicatiecode bevestigd. Hierdoor biedt een inlogfunctie geen volledige veiligheid. Bovendien kan het gebeuren dat er geen sporen van een aanval in de websitegeschiedenis staan omdat het probleem optreedt voordat de verwerking van de applicatie begint.
Naast het uitvoeren van programma's rapporteren onderzoekers dat wachtwoorden, authenticatietokens en API-sleutels kunnen worden gelezen uit het geheugen van PHP tijdens de verwerking. Dit betekent dat informatie kan lekken, zelfs als er geen tekenen zijn dat een systeem is overgenomen. Hoewel veel openbare demonstratiecodes niet correct werken, kunnen geavanceerde aanvallers de kwetsbaarheden mogelijk wel exploiteren.
In Japan hebben diverse organisaties preventieve maatregelen genomen door diensten tijdelijk stop te zetten voor veiligheidscontroles. Dit betrof onder andere de websites en applicaties van regionale banken, systemen voor het zoeken naar openbare documenten van lokale overheden en functies van hostingproviders en webdesignservices. Deze acties waren preventief en niet het gevolg van daadwerkelijke aanvallen.