PHP2Shell: controleer de PHP-beveiliging van je Spaanse vestiging

Wat doet PHP2Shell met een webserver?

CVE-2026-109618 en CVE-2026-109619 hebben een kritieke score van 9,2. De fouten betreffen geheugenbeheer en toestand tussen PHP-verzoeken. Mogelijke gevolgen zijn code-uitvoering en het uitlezen van geheugen.

Er zijn aanvalspaden aangetoond voor Apache mod_php en PHP-FPM. De voorwaarden verschillen per omgeving: niet elke server is op dezelfde manier kwetsbaar en één verzoek is niet altijd voldoende.

INCIBE meldt aanvallen vóór de patches; CISA had bij zijn waarschuwing van 21 oktober geen exploitatie waargenomen. Daarmee kunnen we niet vaststellen of succesvolle inbraken hebben plaatsgevonden.

Welke systemen van je Spaanse vestiging controleer je?

Controleer eerst of PHP daadwerkelijk wordt gebruikt. Het gaat niet alleen om een publieke website.

• WordPress, WooCommerce, PrestaShop, Joomla en Drupal.
• PHP-intranetten, CRM, web-ERP, boekingssystemen en gastenportalen.
• Beheerpanelen van apparaten, maar alleen na controle van de fabrikantmelding.
• Ook een Windows-server met kwetsbare PHP hoort in de inventaris. Een systeem zonder kwetsbare PHP wordt door deze fouten niet rechtstreeks geraakt.

Wat is op de hosting van iDeo toegepast?

Volgens de operationele informatie van iDeo van 22 oktober zijn tijdelijke instellingen op alle hostingservers toegepast, vanaf PHP 5.6. Deze maatregelen vervangen de volledige update niet.

• session.upload_progress.enabled = 0 sluit een aangetoond aanvalspad via sessies.
• session.use_strict_mode = 1 versterkt sessiebeheer in het algemeen; het is geen volledige PHP2Shell-patch.
• Updates voor PHP 7.4 en nieuwer die via Plesk en cPanel worden verspreid, worden stapsgewijs toegepast.
• Voor websites op PHP 7.3 of ouder plannen we met de klant een migratie.

Wat vraag je schriftelijk aan de hostingpartij?

Vraag de exacte PHP-versie, het pakket met de volledige correctie en bevestiging van de herstart. Alleen WordPress en plug-ins bijwerken is niet voldoende.

Bij systemen die wij beheren controleert het supportcentrum de PHP-installaties, met voorrang voor internettoegang. We bekijken logbestanden, vragen externe hostingpartijen om bevestiging en leggen bijgewerkte systemen en resterende werkzaamheden vast. Een herstart en eventuele onderbreking stemmen we vooraf af; er is geen vaste duur.

Welke PHP-versies zijn hersteld?

Gebruik de juiste herstelde versie of een leverancierspakket met een gedocumenteerde volledige backport. Een uitzonderlijke patch maakt een oude branch niet opnieuw regulier ondersteund.

PHP 8.1 en ouder hebben geen reguliere ondersteuning meer. Er zijn uitzonderlijke broncodepatches voor 7.4, 8.0 en 8.1. Controleer het leverancierspakket en plan migratie. De beveiligingsondersteuning voor PHP 8.2 eindigt op 31-12-2026.

Wat als direct bijwerken niet mogelijk is?

PHP waarschuwt dat tijdelijke configuratie geen volledige bescherming geeft. Uploadvoortgang uitschakelen, verzoeken begrenzen of een WAF gebruiken kan specifieke risico’s beperken, maar vervangt de patch niet.

Pas instellingen op beheerniveau toe en herstart de PHP-processen. Een instructie in WordPress volstaat niet. Spreek met de beheerder af hoe je de blootstelling tijdelijk beperkt.

Hoe ga je om met onverwachte wijzigingen?

Bewaar bestanden en logs en neem contact op met je technische team. Betrek bij persoonsgegevens ook de privacyverantwoordelijke. Voor de Spaanse operatie geldt bij een meldingsplichtig AVG-datalek doorgaans 72 uur vanaf kennisname, tenzij een risico voor rechten en vrijheden onwaarschijnlijk is. Beoordeel de bevoegde toezichthouder en meldplicht per incident.