PHP2Shell: AI vond een decennia oud lek in de motor onder je website
AI-modellen ontdekten twee kritieke lekken in PHP, de taal achter WordPress en veel webshops. Een WordPress-update lost het niet op. Dit moet je deze week regelen.
Vorige week gingen in Nederland ineens bekende websites op zwart. DigiD, MijnOverheid, de Tweede Kamer en zelfs het Nationaal Cyber Security Centrum haalden hun site uit voorzorg offline. De oorzaak heet PHP2Shell: twee kritieke kwetsbaarheden in PHP, de programmeertaal waar volgens Wiz zo'n 70% van het internet op draait. Het opvallende is niet alleen de omvang, maar ook wie de lekken vond: AI-modellen. Wat betekent dit voor jouw website of webshop, en wat moet je nu doen?
Wat is er precies aan de hand?
Op 21 oktober 2026 bracht het PHP-ontwikkelteam noodupdates uit voor twee lekken, bekend als CVE-2026-109618 en CVE-2026-109619. Via deze lekken kan een aanvaller op afstand code uitvoeren op een webserver, zonder in te loggen. Beide scoren 9,2 op de CVSS v4.0-schaal, die tot 10 loopt. Dat is serieus.
Beveiligingsonderzoekers van Wiz lieten zien dat ze op standaardinstallaties van WordPress, Drupal en Joomla code konden uitvoeren zonder authenticatie. Daarnaast kunnen aanvallers geheugen uitlezen waarin wachtwoorden, inlogtokens, API-sleutels en certificaten kunnen staan.
Het NCSC is helder: elk systeem met PHP dat vanaf internet bereikbaar is, is vermoedelijk kwetsbaar tot het is bijgewerkt. Dat geldt voor websites op WordPress, Drupal, Magento en veel maatwerk, en ook voor webwinkels, klantportalen en formulieren. Op 22 oktober meldde het NCSC dat het eerste signalen van succesvol misbruik onderzoekt. Over hoe breed het lek al wordt misbruikt zijn bronnen het overigens niet eens, maar wachten tot daar duidelijkheid over is, is geen goed plan.
Waarom dit vooral een AI-verhaal is
De lekken werden gevonden door onderzoekers van Calif, OpenAI en Wiz. Volgens Wiz zaten ze er al decennia in. Ze waren alleen zo lastig aan te tonen, met een uitzonderlijk complexe reeks stappen, dat het op de grens lag van wat menselijke onderzoekers praktisch kunnen. Frontier AI-modellen hebben die drempel flink verlaagd.
Dat is goed nieuws en slecht nieuws tegelijk. Goed, omdat de lekken nu gedicht kunnen worden. Slecht, omdat dezelfde soort hulpmiddelen ook voor aanvallers beschikbaar komt. De tijd tussen ‘lek gevonden’ en ‘lek misbruikt’ wordt korter. Voor het MKB betekent dat: updates die je ‘later wel even doet’, worden een risico op zich.
Waarom een WordPress-update je niet redt
Dit is het punt waar veel ondernemers zich op verkijken. Het lek zit niet in WordPress of in een plugin, maar in PHP zelf: de laag eronder. Je kunt WordPress dus netjes bijwerken en alsnog kwetsbaar zijn.
De oplossing zit in de nieuwe PHP-versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens het PHP-team beschermt alleen updaten een server volledig. En let op: na de update moet PHP-FPM of Apache opnieuw worden gestart, omdat draaiende processen in het werkgeheugen anders gewoon de oude code blijven uitvoeren.
Draai je op een oudere versie, zoals 7.4, 8.0 of 8.1? Daarvoor zijn wel patches in de broncode verschenen, maar geen officiële kant-en-klare updates, omdat deze versies niet meer worden ondersteund. Je bent niet de enige: volgens VirusTotal draaien zo'n 758.000 servers die hun versie tonen nog op 5.4 tot en met 8.1, tegenover 272.000 op ondersteunde versies.
Je actielijst voor deze week
- Zoek uit welke PHP-versie je site gebruikt. Dat staat vaak in het dashboard van je hostingpakket, of je webbouwer kan het je vertellen.
- Vraag je hostingpartij of de patch is geïnstalleerd én de server is herstart. Vraag naar beide; een update zonder herstart is half werk.
- Draai je op 8.1 of ouder? Plan een upgrade. Test daarbij of je thema, plugins en maatwerk goed werken op een nieuwere versie.
- Vervang wachtwoorden en sleutels. Omdat gegevens uit het geheugen kunnen zijn uitgelezen, is het verstandig wachtwoorden voor je CMS, hosting en database te wijzigen, en API-sleutels te vernieuwen, bijvoorbeeld voor betaal- of mailkoppelingen.
- Gebruik de hulpmiddelen van het NCSC. Het NCSC heeft een handreiking met beslisboom gepubliceerd en houdt een overzicht bij van PHP-gerelateerde softwareproducten, zodat je kunt nagaan wat kwetsbaar is.
Heb je meerdere systemen, zoals een website, een webshop en een klantportaal? Loop ze dan allemaal na. Juist dat ene vergeten formulier of oude subdomein is vaak de zwakke plek.
Vooruitkijken: onderhoud is geen bijzaak meer
PHP2Shell laat zien waar het naartoe gaat. AI vindt fouten sneller dan teams ze kunnen repareren, en dat geldt straks niet alleen voor PHP. Wie zijn website ziet als iets dat je één keer bouwt en daarna laat staan, loopt steeds meer risico. Regelmatig onderhoud, actuele software en weten wie je belt als het misgaat, worden net zo belangrijk als een mooi ontwerp.
Bij Silvar werken we dagelijks met AI én houden we websites, apps en servers up-to-date voor ondernemers in heel Nederland. Twijfel je of jouw site veilig draait, of wil je eindelijk van die oude PHP-versie af? Je hebt bij ons één vast aanspreekpunt en hoort binnen één werkdag van ons. Samen zoeken we uit wat er nodig is, zonder poespas.