Beveiliging · 24 oktober 2026
PHP brengt noodpatches uit voor kritieke PHP2Shell kwetsbaarheden
PHP heeft noodupdates uitgebracht om twee kritieke kwetsbaarheden in de PHP runtime aan te pakken, die gezamenlijk PHP2Shell worden genoemd. Deze lekken stellen aanvallers zonder gebruikersaccount in staat om code uit te voeren op webservers.
De kwetsbaarheden, aangeduid als CVE-2026-109618 en CVE-2026-109619, hebben beide een CVSS v4.0 score van 9.2. Ze zijn ontdekt door Wiz Research, Calif en het Codex Security team van OpenAI. De lekken beïnvloeden bijna alle versies van PHP vanaf versie 5.4. Patches zijn beschikbaar in versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Omdat het probleem in de engine van PHP zelf zit en niet in de applicatiecode, zijn zelfs websites met zeer eenvoudige code kwetsbaar. Alle PHP installaties die webdiensten leveren lopen risico, waaronder PHP-FPM, Apache mod_php, php-cgi, FrankenPHP en LiteSpeed. Systemen die Apache mod_php gebruiken lopen het grootste risico, aangezien er een demonstratie is van een exploit die slechts één ongeauthenticeerd verzoek vereist en werkt voordat de applicatiecode wordt uitgevoerd.
Voor CVE-2026-109619 is bewezen dat code kan worden uitgevoerd op zowel mod_php als PHP-FPM, hoewel het pad op FPM bepaalde acties binnen de applicatie vereist. Voor CVE-2026-109618 is PHP-FPM risicovol, maar is er nog geen volledige exploit gedemonstreerd. Daarnaast kunnen aanvallers het geheugen van PHP worker processen lezen zonder code uit te voeren, wat kan leiden tot het lekken van wachtwoorden, authenticatietokens, API sleutels en certificaten van andere verzoeken.
WatchTowr en Cloudflare hebben reeds pogingen tot aanvallen waargenomen. Cloudflare merkte op dat aanvallers hun payloads aanpassen om WAF regels te omzeilen. Er zijn nog geen bevestigde rapporten van succesvolle inbraken. Onderbeheerders wordt geadviseerd om de PHP runtime onmiddellijk bij te werken en alle Apache, PHP-FPM en PHP workers te herstarten.
Voor oudere versies zoals PHP 7.4, 8.0 en 8.1 heeft het PHP beveiligingsteam source backports gepubliceerd. Gebruikers van Linux distributies moeten de wijzigingslogboeken controleren op de CVE nummers, omdat distributiepakketten mogelijk al zijn hersteld ondanks een oud versienummer. Na de update moeten memory_limit en post_max_size worden herzien, omdat de patch een nieuwe harde geheugenlimiet introduceert die processen direct stopt bij overschrijding.
PHP benadrukt dat updates de enige volledige oplossing zijn. Tijdelijke maatregelen verminderen slechts enkele aanvalspaden. Voor CVE-2026-109618 kan memory_limit op -1 worden gezet en post_max_size laag worden ingesteld. Voor CVE-2026-109619 kan session.upload_progress.enabled op 0 worden gezet, en op PHP 8.5 moet fatal_error_backtraces op 0 worden ingesteld.