Twee PHP2Shell gelekte lekken met een extreem hoge ernst (CVSS 9.2) zijn voorafgaand aan een geplande, gecoördineerde bekendmaking online verschenen. Omdat de problemen naar verwachting remote code execution (RCE) kunnen veroorzaken en volgens signalen zonder authenticatie misbruikt kunnen worden, is het zaak om nu al te handelen—nog voordat de officiële patches beschikbaar zijn.
PHP heeft aangekondigd dat de fixes op woensdag 21 oktober 2026 om 14:00 UTC (10:00 ET) klaarstaan. Tegelijk waarschuwt het project dat updates eerder uitgerold kunnen worden als er technische details openbaar komen of als er bewijzen ontstaan van misbruik in het wild.
Wat is er gelekt: PHP2Shell en de ernstscore
De kwetsbaarheden worden gerapporteerd onder de namen PHP2Shell. Ze worden gevolgd als CVE-2026-109618 en CVE-2026-109619, beide met een CVSS-score van 9.2. Een score op dat niveau wijst erop dat de impact groot is en dat geautomatiseerd misbruik waarschijnlijk is zodra de kans zich aandient.
Volgens CERT-EU kan de aanval, op basis van de score, zonder authenticatie plaatsvinden. In de praktijk betekent dit dat elke kwetsbare installatie een potentieel doelwit kan worden, zelfs als er geen specifieke inlog nodig is om de kwetsbaarheid te triggeren.
Wat kan een aanvaller doen?
De kern van het risico is dat de lekken kunnen leiden tot remote code execution (RCE). In publicaties over deze problemen wordt daarnaast gesproken over het verkrijgen van een shell op servers die getroffen zijn.
Dat is precies het scenario waar veel organisaties bang voor zijn: zodra een aanvaller code op afstand kan uitvoeren, kunnen zij verder gaan met bijvoorbeeld datadiefstal, malware-installatie of het uitbuiten van andere kwetsbaarheden binnen hetzelfde netwerk.
Hoewel de openbaar beschikbare informatie nog niet alle technische details bevat—zoals de exacte root cause, het getroffen onderdeel of een helder aanvalspad—geven de ernst en de beschrijving van de gevolgen voldoende reden om patching en mitigatie prioriteit te geven.
Wanneer komen de patches uit?
PHP heeft een concrete release-moment aangekondigd: 21 oktober 2026 om 14:00 UTC. Het advies is om nu al voorbereid te zijn, zodat upgrades direct na publicatie uitgevoerd kunnen worden.
Daarnaast geeft PHP aan dat de fixes eerder beschikbaar kunnen komen als er extra technische details openbaar worden of als er bewijzen verschijnen dat de kwetsbaarheden actief misbruikt worden.
Meerdere partijen wijzen er bovendien op dat de kans op massaal misbruik snel kan toenemen zodra er een werkende exploit of patch beschikbaar is. WatchTowr en Huntress melden wel dat er nog geen actieve exploitatie in het wild is gezien, terwijl een andere partij inschat dat grootschalig misbruik zeer snel kan starten na patchrelease.
Zijn alle PHP-versies getroffen?
Openbare rapportage suggereert dat alle PHP-versies vanaf PHP 5 kwetsbaar zouden kunnen zijn. Dat maakt de urgentie groter, zeker als je nog oudere runtime-omgevingen gebruikt of als er applicaties draaien op legacy-omgevingen binnen dezelfde organisatie.
Let op: “mogelijk getroffen” betekent dat je niet alleen naar de versie op je webserver moet kijken, maar ook naar plekken waar PHP draait—zoals containers, on-premise omgevingen, PaaS-instanties, of build-/testomgevingen die ook extern bereikbaar zijn.
Wat zeggen onderzoekers over technische onderbouwing?
De openbaar gedeelde informatie bevat volgens de berichtgeving niet de volledige technische analyse. Er is wel een rapport dat spreekt van een use-after-free type probleem als mogelijke oorzaak voor één van de kwetsbaarheden. Tegelijk is die claim niet het volledige verhaal en ontbreken nog details die je normaal gebruikt om exact te bepalen hoe je het in jouw omgeving kunt mitigeren.
WatchTowr zegt dat men de kwetsbaarheid heeft kunnen reproduceren voor CVE-2026-109618, maar dat men aanvullende technische informatie nog niet deelt vanwege de gevoeligheid. Dat onderstreept hoe snel dit type lekken richting aanvallers kan bewegen zodra er voldoende kennis beschikbaar komt.
Actieplan: zo bereid je je voor op snelle patching
Als PHP2Shell gelekte lekken inderdaad al op grote schaal geautomatiseerd benaderd kunnen worden, is de marge klein. De volgende stappen helpen om de overstap naar de gepatchte versies soepel te laten verlopen:
- Inventariseer onmiddellijk waar PHP draait: webservers, reverse proxies, containers, managed hosting, CI/CD omgevingen en eventuele batchprocessen die PHP gebruiken.
- Plan een patchvenster rond 21 oktober 2026 14:00 UTC. Werk met een “upgrade direct na release”-proces, zodat uitstel wordt vermeden.
- Test gefaseerd waar dat kan: voer eerst upgrades uit in een stagingomgeving met dezelfde configuratie en extensions.
- Minimaliseer exposure tijdens het wachten: beperk externe toegang tot systemen die nog niet gepatcht zijn en controleer of internetgerichte endpoints strikt nodig zijn.
- Monitor logging en runtime-indicatoren zodra de release nadert of als je verdachte scans ziet. Ook al zijn er nog geen bevestigde aanvallen gezien, dat zegt niets over de komende uren.
Door deze voorbereidingen nu te doen, voorkom je dat je na de patchrelease nog eerst je omgeving moet “zoeken” of configuraties moet uitzoeken.
Leer van vergelijkbare exploitketens
In het verleden zijn critieke web- en platformkwetsbaarheden regelmatig sneller operationeel dan organisaties willen toegeven. Dat zie je terug in eerdere meldingen waar een exploitketen al kort na openbaarmaking of na gerelateerde patchmomenten werd geactiveerd.
Als je je voorbereidingsaanpak wilt versterken, helpt het om ook te kijken naar incidenten rond andere platformen. Zo is er op de site aandacht voor het misbruik van kwetsbaarheden via een exploitketen bij Plex2Shell exploit die actief werd na publicatie. Dat soort patronen laat zien hoe snel verdediging achter kan lopen bij publicatie van details.
Daarnaast kan het relevant zijn om te weten hoe organisaties reageren op snelle exploitrisico’s bij andere kritieke RCE-achtige issues; een voorbeeld is de waarschuwing rondom het direct updaten bij kritieke Drupal RCE.
Conclusie: wacht niet op extra bevestiging
De combinatie van kritieke CVSS 9.2 scores, mogelijke authenticatievrije exploitbaarheid en het scenario van remote code execution maakt dat de prioriteit hoog moet zijn. Hoewel er volgens meldingen nog geen misbruik in het wild is waargenomen, is de kans op massaal aanvallen na patchrelease reëel.
PHP roept daarom op om nu al klaar te staan voor het upgraden zodra de fixes beschikbaar zijn. Door vandaag je PHP-landschap te inventariseren, patchroutes te testen en exposure te beperken, verklein je de kans dat PHP2Shell gelekte lekken jouw organisatie eerder dan je wilt in de problemen brengen.
Bron: https://www.securityweek.com/php2shell-mass-exploitation-looms-for-leaked-critical-php-flaws/
