Op 21 oktober 2026 bracht het PHP-project een noodpatch uit voor twee kritieke kwetsbaarheden die inmiddels de bijnaam PHP2Shell hebben gekregen. Beide kwetsbaarheden zitten in de PHP-engine zelf, niet in WordPress, een plugin of een controlepaneel, en maken ongeauthenticeerde remote code execution mogelijk. Omdat vrijwel elke webhosting-omgeving PHP draait, was dit een kwetsbaarheid die niet kon wachten. Wij hebben direct geschakeld.
Wat is PHP2Shell precies?
PHP2Shell bestaat uit twee kwetsbaarheden, beide met een CVSS v4.0-score van 9.2:
- CVE-2026-109618: geheugencorruptie die optreedt wanneer PHP door zijn geheugen heen raakt tijdens het verwerken van een speciaal geprepareerd multipart-verzoek.
- CVE-2026-109619: een use-after-free kwetsbaarheid die bereikbaar is via de session upload progress functionaliteit van PHP.
Beide bugs zitten in hoe PHP geheugen beheert tijdens een mislukt verzoek, en een aanvaller heeft geen inlog of eigen kwetsbare code nodig om misbruik te maken. Dat maakt dit anders dan de meeste WordPress- of plugin-kwetsbaarheden: updaten van je website zelf lost dit niet op, de PHP-engine moest gepatcht worden.
Eerst Imunify360 WAF-regels, daarna de PHP-fix
Zodra de kwetsbaarheden bekend werden, hebben we niet gewacht tot de definitieve PHP-patch beschikbaar was. Op onze webhosting-omgeving draait Imunify360, onze beveiligingslaag met Web Application Firewall (WAF). CloudLinux publiceerde al voordat de gepatchte alt-php pakketten klaarstonden meerdere WAF-regelsets die de bekende aanvalspatronen voor PHP2Shell blokkeren. Wij hebben deze regelsets direct bij release geactiveerd, zodat eventuele misbruikpogingen al werden tegengehouden terwijl de echte fix nog in de pijplijn zat. Zo hebben we schade en downtime voorkomen in de kwetsbare periode vóór de daadwerkelijke update.
Razendsnel gepatcht in onze webhosting-omgeving
Direct daarna zijn we aan de slag gegaan met de structurele fix. We maken op onze webhosting gebruik van CloudLinux met alt-php (ook bekend als PHP Selector), waarmee klanten zelf een PHP-versie kunnen kiezen. CloudLinux bracht binnen enkele uren gepatchte pakketten uit voor alle ondersteunde alt-php versies, inclusief end-of-life versies die klanten nog actief gebruiken.
Een belangrijk detail: de fix is teruggeport (backported) naar de bestaande pakketten. Dat betekent dat het versienummer van PHP zelf in eerste instantie hetzelfde bleef, terwijl de fix er wel al in zat. Het ging dus om een nieuwe pakketbuild onder hetzelfde versienummer, met de patch verwerkt in de changelog van het pakket. We hebben deze gepatchte pakketten voor alle PHP-versies op onze webhosting-servers uitgerold en alle PHP-processen herstart, zodat geen enkele draaiende worker nog de kwetsbare code gebruikte.
Het is goed om te benadrukken dat een WAF zoals Imunify360 een waardevolle eerste verdedigingslaag is, maar geen vervanging voor het daadwerkelijk updaten van PHP. Daarom hebben we beide ingezet: eerst de WAF-regels als directe bescherming, gevolgd door de structurele PHP-update zodra die beschikbaar was.
Wat betekent dit voor jou als klant?
Als klant van onze webhosting hoef je zelf niets te doen. Vanaf het moment dat de kwetsbaarheid bekend werd, was je al beschermd via de WAF-regels, en de PHP-pakketten op onze servers zijn inmiddels bijgewerkt, ongeacht welke PHP-versie je in je controlepaneel hebt geselecteerd. Gebruik je een oudere PHP-versie via de PHP Selector? Ook die versies zijn gepatcht, aangezien CloudLinux de fix heeft teruggeport naar alle ondersteunde branches.
Waarom dit belangrijk is
Kwetsbaarheden als PHP2Shell laten zien hoe belangrijk het is dat je hostingpartij niet alleen reageert, maar ook snel en gelaagd reageert: direct een virtuele patch via de WAF om schade en downtime te voorkomen, gevolgd door de structurele fix zodra die beschikbaar is. Een kwetsbaarheid in de PHP-engine zelf raakt alle websites op een server, ongeacht welk CMS of framework ze gebruiken. Door zo te werken, zorgen we ervoor dat jouw website veilig blijft draaien, zonder dat je er zelf iets van hoeft te merken.
Vragen?
Heb je vragen over deze update of wil je weten welke PHP-versie je momenteel gebruikt? Maak gerust een ticket aan via het klantenpaneel, dan helpen we je graag verder.