Default
Door Remote - 22 Oct 2026
In het kort
PHP's releases van 21 oktober blijven de enige oplossing voor PHP2Shell, en ze beschermen een server pas zodra de eigenaar ze installeert en PHP opnieuw opstart.
De CEO van Cloudflare zei dat het aantal exploitpogingen in de miljoenen liep, terwijl het Duitse BSI en de Japanse regering zeiden dat ze geen enkele succesvolle inbraak hadden bevestigd.
De PHP Foundation zei dat ze in 2024 tekenen van één fout had opgemerkt en noemde de vertraging bij het oplossen ervan ‘een structurele mislukking’.
Een dag nadat twee bugs in PHP overheden ertoe aanzetten hun websites los te koppelen, is de oplossing uit, hameren aanvallers aan de slag en vragen veel mensen zich hetzelfde af: kan ik zonder zorgen internetten, of moet ik me tot volgende week onder bed verstoppen?
Het korte antwoord is dat het internet niet kapot is gegaan, en dat het risico voor de meeste mensen ligt bij de websites die ze bezoeken, en niet bij hun eigen telefoons of laptops. Het langere antwoord bevat enkele kanttekeningen die de moeite waard zijn om te weten.
Korte samenvatting: PHP is de software die achter de schermen draait op ongeveer 70% van de websites waarvan de server-side taal bekend is, en de twee fouten, bijgenaamd PHP2Shell, laten een vreemdeling de controle over een kwetsbare server overnemen zonder in te loggen.
Is het opgelost? Dus, is de exploit opgelost? Ja, meestal. PHP heeft woensdag versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uitgebracht, volgens de release notes. "Er zijn geen volledige oplossingen, updaten is de enige veilige keuze." Vanaf donderdag heeft PHP geen vervolgpatch uitgebracht.
Een oplossing helpt echter alleen als iemand deze installeert. PHP werkt zichzelf niet bij, dus elk hostingbedrijf, elke IT-afdeling en elke solo-website-eigenaar moet het op zijn eigen servers toepassen en vervolgens de software opnieuw opstarten voordat het effect heeft.
Met andere woorden: de oplossing bestaat, maar dit betekent niet dat de sites die u bezoekt noodzakelijkerwijs veilig zijn.
PHP 8.1 en eerder krijgen geen officiële releases meer, waardoor oudere servers de zwakke plek zijn, hoewel het beveiligingsteam van PHP kale patches voor 7.4, 8.0 en 8.1 heeft gepost voor mensen die de software zelf compileren.
Is er daadwerkelijk iemand gehackt? Aanvallers hebben het zeker geprobeerd: Matthew Prince, CEO van Cloudflare, zei dat zijn netwerk duizenden exploitpogingen zag in de tien uur vóór de aankondiging, tienduizenden in de 45 minuten erna, honderdduizenden binnen twee uur en miljoenen daarna.
Enkele statistieken over #php2shell. In de tien uur voordat het publiekelijk werd aangekondigd, zagen we via het @Cloudflare-netwerk duizenden pogingen om het te exploiteren. Dat steeg naar tienduizenden in de 45 minuten na de aankondiging, honderdduizenden binnen twee uur, en miljoenen nu.
— Matthew Prince 🌥 (@eastdakota) 22 oktober 2026
Amazon ging verder en zei dat zijn lokservers een poging hadden geregistreerd op 17 oktober, vier dagen voordat de bugs openbaar werden. "Het blijft onduidelijk hoe de acteur exploitinformatie heeft verkregen voorafgaand aan de openbaarmaking", schreef CISO CJ Moses van Amazon, eraan toevoegend dat PHP2Shell "nu op grote schaal in het wild wordt uitgebuit."
Regeringen lijken echter nog geen enkele succesvolle inbraak te hebben meegemaakt. Thomas Caspers, vice-president van het Duitse federale cyberveiligheidsagentschap BSI, zei dat het agentschap aanvallen had gezien, maar geen succesvol gebruik van de tekortkomingen, en voegde eraan toe: "Het lijkt een beetje ingewikkelder dan verwacht om misbruik te maken." De Japanse kabinetschef, Minoru Kihara, zei ook dat er geen aanvallen zijn bevestigd die misbruik maken van de tekortkomingen.
Myriad: Welk bedrijf zal het beste AI-model hebben? Klik om uw voorspelling te doen. Een poging is dat iemand aan de deurknop rammelt; een inbreuk is dat iemand binnenkomt, dus beide beweringen kunnen tegelijk waar zijn. Miljoenen rammelende deurknoppen en nul bevestigde inbraken zijn goed nieuws, maar inbraken worden meestal later ontdekt, en niet in realtime.
Waarom werd dit niet eerder opgemerkt? Dat was het wel. In een woensdag gepubliceerde blogpost zei de PHP Foundation dat haar beveiligingswerk in 2024 "de eerste tekenen van het OOM-probleem achter CVE-2026-109618 vond", waarmee wordt bedoeld de bug zonder geheugen die de kern vormt van een van de twee fouten.
Het team bedacht "verschillende concurrerende benaderingen" om het probleem op te lossen, maar "had moeite om hiertussen te kiezen en vreesde de gevolgen van het verzenden van de verkeerde keuze", aldus de stichting. “Zonder de financiering van de Foundation zou het onmogelijk zijn geweest om meerdere mensen fulltime aan dit onderwerp te laten werken”, voegde het eraan toe.
“We zullen niet anders beweren: de vertraging was een structurele mislukking, veroorzaakt door zowel het besluitvormingsproces van het beveiligingsteam als het gebrek aan middelen”, schreef de stichting, eraan toevoegend dat het beveiligingsteam, dat vroeger consensus nodig had, nu bij meerderheid zal beslissen. Voor de software waarop het grootste deel van het internet draait, is dat beveiligingswerk "nog steeds afhankelijk van een kleine groep door de stichting gefinancierde ontwikkelaars en een beetje hulp van vrijwilligers", aldus de post.
Waarom zijn sommige websites nog steeds offline? Omdat patchen tijd kost, en 'offline' het officiële advies was voor iedereen die niet meteen kon patchen. Het Britse National Cyber Security Centre heeft organisaties opgedragen te overwegen “het systeem offline te halen totdat het volledig kan worden verholpen”.
De lijst met sites die woensdag donker werden, werd snel lang. Volgens TechRadar omvatte het Wikimedia-diensten, Orange-websites en -apps in tientallen landen, 32 Britse overheidsdiensten, Nederlandse ziekenhuizen en de Duitse federale IT-provider ITZBund.
Het Britse Office for Budget Responsibility en de website van de gemeenteraad van Edinburgh waren donderdag terug. Anderen, zoals de Nederlandse anonieme misdaadrapportagesite Meld Misdaad Anoniem, waren donderdagochtend nog steeds offline, aldus DutchNews.
Moet ik mijn wachtwoorden wijzigen? Niet daarom, althans nog niet. Er is tot nu toe geen bevestigd datalek met PHP2Shell gelinkt, en het veranderen van elk wachtwoord vandaag de dag zal niet helpen als de server van een site nog steeds niet is gepatcht.
Wat wel helpt, zijn de saaie dingen: unieke wachtwoorden voor elk account, tweefactorauthenticatie aan en opletten als een bedrijf je de komende weken e-mailt over een lek. Als er een verschijnt, wijzig dan dat wachtwoord en elk account waar u het opnieuw hebt gebruikt.
Website-eigenaren hebben meer huiswerk, omdat patchen de deur sluit, maar niet vertelt of iemand als eerste is binnengekomen. Beveiligingsbedrijf Tag1 adviseert om te zoeken naar PHP-bestanden die je niet hebt geüpload, nieuwe geplande taken en nieuwe accounts, en het wisselen van databasewachtwoorden en API-sleutels op elke internetgerichte server waarop een kwetsbare versie draaide.
Hoe zit het met crypto? Binance-oprichter Changpeng Zhao had een kort advies over X: "Noem me paranoïde, maar wees extra voorzichtig als je de komende dagen WELKE website bezoekt."
Noem mij paranoïde, maar wees extra voorzichtig bij het bezoeken van ELKE website in de komende dagen, aangezien sommige webbeheerders niet altijd op de hoogte zijn van beveiligingspatches.
Twee kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) gemeld voor PHP, de webprogrammeertaal, die van invloed zijn op servers...
— CZ 🔶BNB (@cz_binance) 21 oktober 2026
Een gehackte webserver kan je een nepversie van een echte site laten zien, en in crypto betekent dat meestal een pagina die je vraagt om je portemonnee aan te sluiten en een transactie goed te keuren waardoor deze leeg raakt. Een blockchain-netwerk zelf kan prima zijn; de websites ervoor zijn dat misschien niet.
Controleer de komende dagen drie keer wat u ondertekent, maak een bladwijzer van de sites die u gebruikt in plaats van op links te klikken, en gebruik een hardware wallet als u die heeft. Tot nu toe heeft geen enkele crypto-uitwisseling publiekelijk melding gemaakt van een inbreuk die verband houdt met PHP2Shell.
Dus, is het veilig? Surfen op internet is vandaag de dag ongeveer net zo veilig als vorige week, dat wil zeggen niet perfect. De echte blootstelling bevindt zich op servers die nog niet zijn gepatcht, en beveiligingsbedrijf Mallory telde ongeveer 884.000 internetgerichte hosts met PHP-versies die geen officiële oplossing krijgen.
Het advies van Amazon aan verdedigers is feitelijk dat dit nog niet voorbij is. “Verdedigers mogen er niet van uitgaan dat de datum van openbaarmaking de vroegste datum van uitbuiting is.” Elke server waarop ten minste sinds 17 oktober een kwetsbare versie draait, moet worden gecontroleerd en niet alleen worden gepatcht.
Dagelijkse debriefing NieuwsbriefBegin elke dag met de belangrijkste nieuwsverhalen van dit moment, plus originele artikelen, een podcast, video's en meer.
E-mailadres Word gratis lid Sluit u aan bij meer dan 72.000 lezers
Maak een account aan om uw artikelen op te slaan. Voeg toe op Google Voeg Decrypt toe als uw favoriete bron om meer van onze verhalen op Google te zien.
PHP's releases van 21 oktober blijven de enige oplossing voor PHP2Shell, en ze beschermen een server pas zodra de eigenaar ze installeert en PHP opnieuw opstart.
De CEO van Cloudflare zei dat het aantal exploitpogingen in de miljoenen liep, terwijl het Duitse BSI en de Japanse regering zeiden dat ze geen enkele succesvolle inbraak hadden bevestigd.
De PHP Foundation zei dat ze in 2024 tekenen van één fout had opgemerkt en noemde de vertraging bij het oplossen ervan ‘een structurele mislukking’.
Een dag nadat twee bugs in PHP overheden ertoe aanzetten hun websites los te koppelen, is de oplossing uit, hameren aanvallers aan de slag en vragen veel mensen zich hetzelfde af: kan ik zonder zorgen internetten, of moet ik me tot volgende week onder bed verstoppen?
Het korte antwoord is dat het internet niet kapot is gegaan, en dat het risico voor de meeste mensen ligt bij de websites die ze bezoeken, en niet bij hun eigen telefoons of laptops. Het langere antwoord bevat enkele kanttekeningen die de moeite waard zijn om te weten.
Korte samenvatting: PHP is de software die achter de schermen draait op ongeveer 70% van de websites waarvan de server-side taal bekend is, en de twee fouten, bijgenaamd PHP2Shell, laten een vreemdeling de controle over een kwetsbare server overnemen zonder in te loggen.
Is het opgelost? Dus, is de exploit opgelost? Ja, meestal. PHP heeft woensdag versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uitgebracht, volgens de release notes. "Er zijn geen volledige oplossingen, updaten is de enige veilige keuze." Vanaf donderdag heeft PHP geen vervolgpatch uitgebracht.
Een oplossing helpt echter alleen als iemand deze installeert. PHP werkt zichzelf niet bij, dus elk hostingbedrijf, elke IT-afdeling en elke solo-website-eigenaar moet het op zijn eigen servers toepassen en vervolgens de software opnieuw opstarten voordat het effect heeft.
Met andere woorden: de oplossing bestaat, maar dit betekent niet dat de sites die u bezoekt noodzakelijkerwijs veilig zijn.
PHP 8.1 en eerder krijgen geen officiële releases meer, waardoor oudere servers de zwakke plek zijn, hoewel het beveiligingsteam van PHP kale patches voor 7.4, 8.0 en 8.1 heeft gepost voor mensen die de software zelf compileren.
Is er daadwerkelijk iemand gehackt? Aanvallers hebben het zeker geprobeerd: Matthew Prince, CEO van Cloudflare, zei dat zijn netwerk duizenden exploitpogingen zag in de tien uur vóór de aankondiging, tienduizenden in de 45 minuten erna, honderdduizenden binnen twee uur en miljoenen daarna.
Enkele statistieken over #php2shell. In de tien uur voordat het publiekelijk werd aangekondigd, zagen we via het @Cloudflare-netwerk duizenden pogingen om het te exploiteren. Dat steeg naar tienduizenden in de 45 minuten na de aankondiging, honderdduizenden binnen twee uur, en miljoenen nu.
— Matthew Prince 🌥 (@eastdakota) 22 oktober 2026
Amazon ging verder en zei dat zijn lokservers een poging hadden geregistreerd op 17 oktober, vier dagen voordat de bugs openbaar werden. "Het blijft onduidelijk hoe de acteur exploitinformatie heeft verkregen voorafgaand aan de openbaarmaking", schreef CISO CJ Moses van Amazon, eraan toevoegend dat PHP2Shell "nu op grote schaal in het wild wordt uitgebuit."
Regeringen lijken echter nog geen enkele succesvolle inbraak te hebben meegemaakt. Thomas Caspers, vice-president van het Duitse federale cyberveiligheidsagentschap BSI, zei dat het agentschap aanvallen had gezien, maar geen succesvol gebruik van de tekortkomingen, en voegde eraan toe: "Het lijkt een beetje ingewikkelder dan verwacht om misbruik te maken." De Japanse kabinetschef, Minoru Kihara, zei ook dat er geen aanvallen zijn bevestigd die misbruik maken van de tekortkomingen.
Myriad: Welk bedrijf zal het beste AI-model hebben? Klik om uw voorspelling te doen. Een poging is dat iemand aan de deurknop rammelt; een inbreuk is dat iemand binnenkomt, dus beide beweringen kunnen tegelijk waar zijn. Miljoenen rammelende deurknoppen en nul bevestigde inbraken zijn goed nieuws, maar inbraken worden meestal later ontdekt, en niet in realtime.
Waarom werd dit niet eerder opgemerkt? Dat was het wel. In een woensdag gepubliceerde blogpost zei de PHP Foundation dat haar beveiligingswerk in 2024 "de eerste tekenen van het OOM-probleem achter CVE-2026-109618 vond", waarmee wordt bedoeld de bug zonder geheugen die de kern vormt van een van de twee fouten.
Het team bedacht "verschillende concurrerende benaderingen" om het probleem op te lossen, maar "had moeite om hiertussen te kiezen en vreesde de gevolgen van het verzenden van de verkeerde keuze", aldus de stichting. “Zonder de financiering van de Foundation zou het onmogelijk zijn geweest om meerdere mensen fulltime aan dit onderwerp te laten werken”, voegde het eraan toe.
“We zullen niet anders beweren: de vertraging was een structurele mislukking, veroorzaakt door zowel het besluitvormingsproces van het beveiligingsteam als het gebrek aan middelen”, schreef de stichting, eraan toevoegend dat het beveiligingsteam, dat vroeger consensus nodig had, nu bij meerderheid zal beslissen. Voor de software waarop het grootste deel van het internet draait, is dat beveiligingswerk "nog steeds afhankelijk van een kleine groep door de stichting gefinancierde ontwikkelaars en een beetje hulp van vrijwilligers", aldus de post.
Waarom zijn sommige websites nog steeds offline? Omdat patchen tijd kost, en 'offline' het officiële advies was voor iedereen die niet meteen kon patchen. Het Britse National Cyber Security Centre heeft organisaties opgedragen te overwegen “het systeem offline te halen totdat het volledig kan worden verholpen”.
De lijst met sites die woensdag donker werden, werd snel lang. Volgens TechRadar omvatte het Wikimedia-diensten, Orange-websites en -apps in tientallen landen, 32 Britse overheidsdiensten, Nederlandse ziekenhuizen en de Duitse federale IT-provider ITZBund.
Het Britse Office for Budget Responsibility en de website van de gemeenteraad van Edinburgh waren donderdag terug. Anderen, zoals de Nederlandse anonieme misdaadrapportagesite Meld Misdaad Anoniem, waren donderdagochtend nog steeds offline, aldus DutchNews.
Moet ik mijn wachtwoorden wijzigen? Niet daarom, althans nog niet. Er is tot nu toe geen bevestigd datalek met PHP2Shell gelinkt, en het veranderen van elk wachtwoord vandaag de dag zal niet helpen als de server van een site nog steeds niet is gepatcht.
Wat wel helpt, zijn de saaie dingen: unieke wachtwoorden voor elk account, tweefactorauthenticatie aan en opletten als een bedrijf je de komende weken e-mailt over een lek. Als er een verschijnt, wijzig dan dat wachtwoord en elk account waar u het opnieuw hebt gebruikt.
Website-eigenaren hebben meer huiswerk, omdat patchen de deur sluit, maar niet vertelt of iemand als eerste is binnengekomen. Beveiligingsbedrijf Tag1 adviseert om te zoeken naar PHP-bestanden die je niet hebt geüpload, nieuwe geplande taken en nieuwe accounts, en het wisselen van databasewachtwoorden en API-sleutels op elke internetgerichte server waarop een kwetsbare versie draaide.
Hoe zit het met crypto? Binance-oprichter Changpeng Zhao had een kort advies over X: "Noem me paranoïde, maar wees extra voorzichtig als je de komende dagen WELKE website bezoekt."
Noem mij paranoïde, maar wees extra voorzichtig bij het bezoeken van ELKE website in de komende dagen, aangezien sommige webbeheerders niet altijd op de hoogte zijn van beveiligingspatches.
Twee kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) gemeld voor PHP, de webprogrammeertaal, die van invloed zijn op servers...
— CZ 🔶BNB (@cz_binance) 21 oktober 2026
Een gehackte webserver kan je een nepversie van een echte site laten zien, en in crypto betekent dat meestal een pagina die je vraagt om je portemonnee aan te sluiten en een transactie goed te keuren waardoor deze leeg raakt. Een blockchain-netwerk zelf kan prima zijn; de websites ervoor zijn dat misschien niet.
Controleer de komende dagen drie keer wat u ondertekent, maak een bladwijzer van de sites die u gebruikt in plaats van op links te klikken, en gebruik een hardware wallet als u die heeft. Tot nu toe heeft geen enkele crypto-uitwisseling publiekelijk melding gemaakt van een inbreuk die verband houdt met PHP2Shell.
Dus, is het veilig? Surfen op internet is vandaag de dag ongeveer net zo veilig als vorige week, dat wil zeggen niet perfect. De echte blootstelling bevindt zich op servers die nog niet zijn gepatcht, en beveiligingsbedrijf Mallory telde ongeveer 884.000 internetgerichte hosts met PHP-versies die geen officiële oplossing krijgen.
Het advies van Amazon aan verdedigers is feitelijk dat dit nog niet voorbij is. “Verdedigers mogen er niet van uitgaan dat de datum van openbaarmaking de vroegste datum van uitbuiting is.” Elke server waarop ten minste sinds 17 oktober een kwetsbare versie draait, moet worden gecontroleerd en niet alleen worden gepatcht.
Dagelijkse debriefing NieuwsbriefBegin elke dag met de belangrijkste nieuwsverhalen van dit moment, plus originele artikelen, een podcast, video's en meer.
E-mailadres Word gratis lid Sluit u aan bij meer dan 72.000 lezers
Maak een account aan om uw artikelen op te slaan. Voeg toe op Google Voeg Decrypt toe als uw favoriete bron om meer van onze verhalen op Google te zien.