PHP2Shell: wat betekent dit voor jouw website of PHP-app?
Je hebt deze week misschien berichten gezien over PHP2Shell: een ernstig beveiligingsprobleem in de software waarop veel websites en webapplicaties draaien. Maar wat betekent dat voor jouw bedrijfswebsite, webshop of toepassing op maat? En moet je zelf iets doen?
Wat is PHP eigenlijk?
PHP is een programmeertaal die op de server achter een website draait. Ze verwerkt bijvoorbeeld contactformulieren, haalt gegevens uit een databank en maakt het mogelijk om in te loggen of een bestelling te plaatsen.
Veel websites en bedrijfsapplicaties gebruiken PHP. Denk aan een WordPress-website, maar ook aan een klantenportaal, reservatiesysteem of toepassing op maat.
Als gebruiker zie je die techniek meestal niet. Toch is ze essentieel voor de werking van je website.
Wat is er deze week gebeurd?
Op 21 oktober 2026 bracht het PHP-project beveiligingsupdates uit voor twee kritieke kwetsbaarheden, bekend als PHP2Shell.
Het gaat om fouten in het geheugenbeheer van PHP. Onder bepaalde omstandigheden kan een aanvaller daardoor eigen code uitvoeren binnen het PHP-proces, zonder eerst in te loggen. De kwetsbaarheden zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619. Technische toelichting over de geheugenfouten en achterblijvende interne gegevens.
Dat maakt dit een probleem dat snel aandacht vraagt. Welke aanvallen mogelijk zijn, hangt mee af van de serverconfiguratie en de toepassing.
Is jouw website of app kwetsbaar?
Een kwetsbare toepassing is niet automatisch een gehackte toepassing. Maar draait jouw website op een getroffen PHP-installatie, dan moet de beveiligingsupdate wel worden uitgevoerd.
Het PHP-project waarschuwt voor alle PHP-installaties die webverzoeken verwerken. Het risico wordt het hoogst ingeschat bij Apache met mod_php, maar ook andere opstellingen moeten worden bijgewerkt. Officiële PHP-waarschuwing.
Aan de buitenkant kun je meestal niet zien of jouw website kwetsbaar is. Je pagina’s kunnen normaal laden, je contactformulier kan werken en je webshop kan bestellingen ontvangen, terwijl de serversoftware toch een update nodig heeft.
“Alles werkt nog” is dus geen bevestiging dat alles bijgewerkt is.
Volstaat een update van WordPress of je plug-ins?
WordPress, thema’s en plug-ins horen bij je website. PHP draait daaronder, op de server.
Alleen je plug-ins bijwerken geeft je daarom geen bevestiging dat ook PHP is aangepakt. Hetzelfde geldt voor een toepassing op maat: een aanpassing aan de app betekent niet automatisch dat de onderliggende serversoftware is bijgewerkt.
Goed onderhoud omvat beide lagen. Iemand moet de website én de omgeving waarop die draait opvolgen.
Wat kun je vandaag doen?
Neem contact op met je hostingpartner of websitebeheerder en stel deze vragen:
Gebruikt mijn website of toepassing PHP?
Zijn de beveiligingsupdates voor beide PHP2Shell-kwetsbaarheden toegepast?
Is gecontroleerd dat mijn toepassing daadwerkelijk op de bijgewerkte PHP-installatie draait?
Zijn eventuele aanvullende maatregelen uit de actuele PHP-adviezen nodig en toegepast?
De officiële reparaties verschenen in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Sommige leveranciers verwerken beveiligingsreparaties in hun eigen pakketten. Laat je beheerder daarom bevestigen dat de reparatie aanwezig is; alleen een versienummer vertelt niet altijd het volledige verhaal. PHP-updateadvies.
Op 23 oktober volgde bovendien aanvullend advies over session upload progress bij een uitzonderlijke configuratie. Laat je beheerder ook dat nakijken. Aanvullend PHP-advies.
Waarom een oud PHP-project niet altijd zomaar kan worden bijgewerkt
Bij een recent en goed onderhouden project kan een PHP-update relatief vlot verlopen. Bij een oudere toepassing vraagt dat soms meer voorbereiding.
Verouderde code, bibliotheken of koppelingen kunnen problemen geven op een recentere PHP-versie. Een update kan dan bijvoorbeeld gevolgen hebben voor het inloggen, de verwerking van formulieren of een koppeling met je boekhouding.
Daarom blijven updates soms liggen. De toepassing werkt nog, je bedrijf gebruikt ze dagelijks en niemand wil een belangrijke functie onderbreken.
Maar uitstellen lost die afhankelijkheid niet op. Er is een aanpak nodig waarbij de code wordt nagekeken, noodzakelijke aanpassingen worden uitgevoerd en de belangrijkste functies worden getest.
Met PHPPilot brengt Sindo je PHP-project weer up-to-date
Heb je een bestaande PHP-applicatie die dringend aandacht nodig heeft? Met PHPPilot helpt Sindo je om die bij te werken.
We onderzoeken wat nodig is om je project op een ondersteunde PHP-versie met actuele beveiligingsupdates te laten draaien. Waar nodig passen we verouderde code en afhankelijkheden aan en testen we de belangrijkste functies van je toepassing.
Dat kan gaan om een interne bedrijfstool, klantenportaal, reservatiesysteem of andere toepassing op maat.
Je hoeft niet automatisch opnieuw te beginnen. Eerst bekijken we wat er al is, welke onderdelen problemen geven en hoe we je bestaande project verder kunnen onderhouden.
Onderhoud hoort ook na de lancering bij je website
Bij een nieuwe website gaat veel aandacht naar het ontwerp, de inhoud en de lancering. Daarna blijft technisch onderhoud nodig.
PHP2Shell maakt duidelijk waarom daar afspraken over moeten zijn. Wie volgt beveiligingsmeldingen op? Wie voert dringende updates uit? En wie controleert daarna of je formulieren, reservaties en bestellingen nog werken?
Als die verantwoordelijkheid duidelijk is, kan er sneller worden gehandeld.
Hulp nodig met jouw PHP-project?
Weet je niet welke PHP-versie jouw toepassing gebruikt? Of worden updates uitgesteld omdat de code te oud is?
Sindo werkt je PHP-project bij, zodat je app weer op een ondersteunde PHP-versie met actuele beveiligingsupdates draait.
Ontdek PHPPilot en neem contact op om jouw project te bespreken.