PHP2Shell uitgelegd: wat het lek betekent voor jouw website

Op woensdag 21 oktober 2026 gingen opeens DigiD, MijnOverheid en de websites van de Tweede Kamer en het NCSC uit de lucht. Ook veel hogescholen en ziekenhuizen gingen tijdelijk offline, en in België alle websites van de Vlaamse overheid. Er was geen sprake van een hack, maar van voorzorg. De oorzaak: twee ernstige lekken in PHP, die samen PHP2Shell worden genoemd. Omdat PHP onder ongeveer 70% van alle websites draait, raakt dit bijna iedereen met een website of webapplicatie. In dit artikel leggen we uit wat er is gebeurd, waarom het zo groot is en wat jij nu moet doen. Technische kennis heb je er niet voor nodig.

Wat is PHP eigenlijk?

PHP is een programmeertaal waarin een groot deel van het internet is gebouwd. Als bezoeker zie je er niets van, maar telkens als iemand een pagina opent, een contactformulier verstuurt of iets in een winkelmandje legt, is PHP op de server aan het werk. WordPress, WooCommerce, Joomla, Drupal en Magento zijn allemaal in PHP geschreven, net als veel klantportalen en de beheerpanelen van hostingpartijen, zoals cPanel en Plesk.

Je kunt het vergelijken met een auto. WordPress is de carrosserie en het dashboard: daar heb je dagelijks mee te maken. PHP is de motor onder de motorkap. Als er iets mis is met die motor, maakt het niet uit hoe mooi of goed onderhouden de rest van de auto is.

Wat is PHP2Shell precies?

PHP2Shell is de bijnaam voor twee kwetsbaarheden in PHP zelf, met de officiële codes CVE-2026-109618 en CVE-2026-109619. Het PHP-team gaf beide een score van 9,2 op 10: kritiek. De naam zegt eigenlijk al wat er kan gebeuren. Een shell is de opdrachtregel van een server, de plek van waaruit je alles kunt besturen. Via deze lekken kan een aanvaller van PHP doorstoten naar die shell.

In gewone taal: een aanvaller kan met een speciaal verzoek aan je website eigen code op de server laten uitvoeren. Daarvoor hoeft de aanvaller niet in te loggen en hoeft niemand ergens op te klikken. In het ergste geval gebeurt dat al voordat je website zelf iets doet. Een goed beveiligde WordPress-site met sterke wachtwoorden en tweestapsverificatie beschermt je dus niet: het lek zit een laag dieper.

Hoe kan dat? Het probleem zit in de manier waarop PHP opruimt na elk bezoek. Vergelijk het met een restaurant waar na elke gast de tafel wordt afgeruimd. Als het in de keuken te druk wordt, gaat dat soms mis: een tafel wordt als klaar beschouwd terwijl hij maar half gedekt is, of er blijft iets liggen van de vorige gast. Een aanvaller kan PHP bewust in die drukte brengen door het geheugen vol te laten lopen, en daarna misbruik maken van wat er is blijven liggen.

Waarom gingen DigiD en andere websites offline?

Beveiligingsonderzoekers van onder meer Wiz en Calif vonden de lekken deze zomer, met hulp van AI, en meldden ze bij het PHP-team. Normaal gesproken wordt zo'n lek pas openbaar gemaakt als de oplossing klaarstaat. Dat liep nu anders: op dinsdag 20 oktober lekten de details uit, voordat er een update beschikbaar was. Het PHP-team bracht de updates uit op woensdag 21 oktober, rond 16.00 uur Nederlandse tijd.

Op dat moment wist dus de hele wereld dat er een groot lek was, terwijl nog bijna geen enkele server was bijgewerkt. Het Nationaal Cyber Security Centrum (NCSC) sprak van een zeer hoog risico op volledige overname van systemen en adviseerde: wat je niet direct kunt bijwerken, haal je offline. Veel organisaties, waaronder de overheid, volgden dat advies. Minister Van Weel van Justitie en Veiligheid liet weten dat er op dat moment nog geen signalen waren dat het lek actief werd misbruikt.

Helemaal rustig was het niet. Beveiligingsbedrijven zoals Amazon en Cloudflare zagen wel al de eerste aanvalspogingen, één zelfs al op 17 oktober, vier dagen voordat het lek openbaar werd. Inmiddels circuleert er ook openbare code waarmee het lek te misbruiken is. Beveiligingsexperts verwachten daarom dat criminelen op grote schaal gaan zoeken naar websites die nog niet zijn bijgewerkt.

Waarom raakt dit zoveel websites?

• PHP draait onder ongeveer 70% van alle websites, van kleine bedrijfssites tot grote webwinkels.
• Het lek zit in PHP zelf, niet in een plugin of thema. Hoe goed je website ook is gebouwd, als hij op een kwetsbare PHP-versie draait, loopt hij risico.
• Ook oude versies zijn getroffen, tot PHP 5.4 uit 2012 aan toe. Voor PHP 8.1 en ouder brengt het PHP-project geen kant-en-klare updates meer uit. Uit een telling op basis van internetscans blijkt dat ruim de helft van de PHP-servers die hun versie laten zien, op zo'n verouderde versie draait.
• Het gaat niet alleen om websites. Ook klantportalen, webapplicaties, hostingpanelen en zelfs de beheersoftware van sommige firewalls draaien op PHP.

Wat betekent dit voor jouw website?

Dat hangt vooral af van waar je website draait en wie verantwoordelijk is voor de server.

Je website draait bij een hostingpartij

Staat je website op gedeelde hosting, dan moet je hostingpartij PHP bijwerken. Veel hostingpartijen hebben dat in de eerste dagen al gedaan, maar ga er niet blind van uit. Kijk op de statuspagina of bij het nieuws van je hostingpartij, of vraag het na bij de klantenservice.

Je hebt een eigen server of VPS

Dan ben jij, of je IT-partner, zelf verantwoordelijk. De grote Linux-distributies kregen de updates vooraf en bieden ze aan via de gewone updatekanalen. Installeer ze zo snel mogelijk en herstart daarna de webserver en PHP, zodat de nieuwe versie ook echt actief is.

Je hebt een webapplicatie of portaal laten bouwen

Vraag je ontwikkelaar of leverancier of de applicatie op PHP draait, op welke versie, en of de update al is geïnstalleerd. Vraag om een concrete bevestiging, niet alleen om een geruststellend antwoord.

Wat moet je nu doen? Een stappenplan

1. Ga na of je website of applicatie op PHP draait. Gebruik je WordPress, WooCommerce, Joomla, Drupal of Magento, dan is het antwoord ja.
2. Controleer de PHP-versie. In WordPress vind je die onder Gereedschap, Sitediagnose, tabblad Info, onderdeel Server. Ook in het beheerpaneel van je hostingpartij staat de versie meestal vermeld.
3. Vergelijk de versie met de veilige versies: 8.2.35, 8.3.36, 8.4.27 of 8.5.12, of nieuwer binnen dezelfde reeks. Gebruikt je server de PHP-versie van een Linux-distributie, dan kan het nummer er anders uitzien terwijl de reparatie wel is toegepast. Vraag in dat geval je beheerder om bevestiging.
4. Draai je op PHP 8.1 of ouder? Dan komt er geen gewone update. Plan de overstap naar een ondersteunde versie zo snel mogelijk en kies meteen voor 8.3 of nieuwer: ook PHP 8.2 krijgt na 31 december 2026 geen updates meer.
5. Kun je niet direct bijwerken? Volg dan het advies van het NCSC en haal de website of applicatie tijdelijk offline. Er bestaan tijdelijke instellingen die het risico verkleinen, maar volgens het PHP-team maken die een installatie niet veilig.
6. Laat controleren of er niet al iets is binnengekomen. Omdat er al voor de update aanvalspogingen waren, raadt onder meer het Britse NCSC aan om te zoeken naar achterdeurtjes: onbekende bestanden, nieuwe beheerdersaccounts of vreemde doorverwijzingen. Vind je iets verdachts, lees dan ons stappenplan voor als je website gehackt is.

De les: ook de fundering heeft onderhoud nodig

Bij website-onderhoud denken de meeste mensen aan updates van WordPress en plugins. PHP2Shell laat zien dat de laag daaronder net zo belangrijk is. Daar komt bij dat onderzoekers steeds vaker AI gebruiken om lekken te vinden. Dat is goed nieuws, want lekken worden sneller gevonden en gedicht. Maar volgens onderzoekers maakte AI het in dit geval ook veel makkelijker om een werkende aanval te bouwen. De tijd tussen de bekendmaking van een lek en de eerste aanvallen wordt dus steeds korter.

Een website is zo veilig als de laag waarop hij draait.

Weet daarom wat je website gebruikt, houd alle onderdelen op een ondersteunde versie en spreek duidelijk af wie wat bijwerkt: jij, je hostingpartij of je webbureau. Dan hoef je bij het volgende grote lek niet te zoeken, maar weet je snel waar je staat.

Twijfel je of jouw website of applicatie veilig is? Wij controleren voor je op welke PHP-versie je draait, stemmen zo nodig af met je hostingpartij en kijken of er sporen zijn van misbruik. Met een onderhoudsabonnement houden we niet alleen je website, maar ook de techniek eronder up-to-date. Neem gerust contact met ons op.

Dit artikel beschrijft de situatie op 23 oktober 2026. Er kan nog nieuwe informatie bijkomen, zoals extra updates of bevestigde aanvallen.