ONAFHANKELIJKE PHP-BEVEILIGINGSTOOLS
Een duidelijk antwoord begint bij de juiste versie. Controleer de PHP2Shell-patchgrens en vind de volgende stap voor uw omgeving.
Privé: uw invoer blijft in deze browser.
PHP is de beste taal ter wereld
01 / CONTROLEER UW VERSIE
Plak een PHP-versie, uitvoer van php -v of één versie per regel. Dit vergelijkt versies en test geen exploit.
PHP2SHELL / FRAMEWORK / CMS
Verhelp PHP2Shell in je framework, blog of winkel: bepaal welke PHP draait, controleer compatibiliteit, los blokkades op en verifieer CVE-2026-109618 en CVE-2026-109619.
PHP2SHELL / PHP2Shell-hulpmiddelen
Controleer openbare websites, lokale configuraties en logs of vind opensourcetools. Elk resultaat vermeldt bewijs en beperkingen.
Controleer openbare websites, lokale configuraties en logs of vind opensourcetools. Elk resultaat vermeldt bewijs en beperkingen.
01PHP is de motor achter WordPress, Laravel en plug-ins. Een plug-inupdate werkt PHP niet bij. Twee geheugenfouten kunnen abnormale requestopruiming veranderen in gegevenslekken of code-uitvoering. De openbare controle geeft aanwijzingen; de beheerder moet de echte Web-runtime en patch bevestigen.
02Vreemde multipart of WAF-alarmen kunnen een poging aangeven. OOM, SIGSEGV/SIGABRT en HTTP-500-pieken kennen ook gewone oorzaken. Onverwachte PHP-kindprocessen, verbindingen, bestanden of accounts vereisen onderzoek. Geheugenlekken hoeven geen webshell of bestand achter te laten; een schone bestandsscan sluit ze niet uit.
03Noteer ontdekking, domein, instantie, runtime, symptomen en laatste betrouwbare toestand. Exporteer originele logs met tijdzone, cloudaudit en beschikbare toegestane snapshots. Beperk kopieën en noteer hashes. Stuur geen cookies, tokens of klantgegevens naar openbare scanners. Wis geen logs of verdachte bestanden vóór veiligstelling.
04Onderzoek beschrijft fouten over requests heen. CVE-2026-109618 toont mod_php-RCE; FPM-kwetsbaarheid volgt uit bronanalyse zonder volledige FPM-exploit voor deze CVE. CVE-2026-109619 bevestigt apart een toepassingsafhankelijk FPM-upload-progress-pad. Lees elke GHSA voor bewijs per SAPI.
05Cloudflare combineert verzoek en originrespons om verdachte antwoorden vóór een mogelijk lek te blokkeren. Relevant zonder shell. Historische uitrol garandeert jouw dekking niet: controleer regels, routering, uitzonderingen en gebeurtenissen. Directe origin en hosts buiten de proxy hebben ook patches nodig.
02 / PATCHBASIS
Gepubliceerd door het PHP-beveiligingsteam op 21 oktober 2026. Vergelijk binnen uw eigen branch.
PHP.net ↗
| PHP-branch | Upstream-versies lager dan | Eerste gepatchte versie | Einde beveiligingsondersteuning |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 dec 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 dec 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 dec 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 dec 2026 |
Geen reguliere PHP-release voor deze branches. Minimale broncode-backports bestaan voor 7.4, 8.0 en 8.1. Controleer leverancierondersteuning apart. Lees de gids ↗
03 / VAN CONTROLE NAAR HERSTEL
Zoek alle PHP-runtimes, pakketbronnen en site-handlers.
Installeer een gepatchte build of gedocumenteerde backport.
Vervang actieve workers en controleer alle instanties.
Identificeer php*-common en het Web-handlerpakket.
Lees de gidsOnderscheid OS-pakketten, applicatiestreams en externe repositories.
Lees de gidsDezelfde container herstarten installeert geen patch.
Lees de gidsPanel-PHP kan apart staan van systeem-PHP.
Lees de gidsWordPress, Drupal of Joomla bijwerken vervangt PHP niet.
Lees de gidsPHP2SHELL / CVE
PHP2Shell bestaat uit geheugenveiligheidsfouten in PHP zelf. Een actuele applicatie kan op een ongepatchte interpreter draaien.
CVE-2026-109618 betreft voortijdige OOM-uitgang, met half geïnitialiseerd geheugen dat bij opruimen wordt gebruikt. De patch introduceert zachte en harde geheugenafhandeling. Volledige RCE is bevestigd voor mod_php. FPM wordt vatbaar geacht voor applicatiepaden, zonder volledig aangetoonde exploit voor deze CVE.
Lees de gids ↗CVE-2026-109619 bewaart verwijzingen naar vrijgegeven aanvraaggeheugen. Een volgende aanvraag op dezelfde worker kan die vóór initialisatie gebruiken. Bevestigd: PHP-8.5-foutbacktraces en sessie-uploadvoortgang. RCE gevalideerd bij mod_php en FPM met geschikt applicatiepad.
Lees de gids ↗Nee. FPM beëindigt het kind als opstarten van de aanvraag mislukt en voorkomt bepaalde startreeksen. Applicatie- en aanvraagoverstijgende paden blijven. Niet elke omgeving is identiek exploiteerbaar aan mod_php; FPM vervangt evenmin een patch.
Ubuntu, Debian en zakelijke Linux behouden soms oude upstream-nummers met gepatchte revisies. Een banner 8.3.6 bewijst geen kwetsbaarheid of herstel. Koppel OS, repository, architectuur en revisie aan BEIDE CVE’s. Wij verzinnen geen pakketgrenzen.
Geen reguliere PHP-releases. Minimale broncode-backports voor 7.4, 8.0 en 8.1 zijn uitzonderingen; bouwen en toetsen is aan de beheerder. OS- of LTS-leveranciers kunnen pakketten onderhouden. Onderzoek vanaf 5.4 met verschillende voorwaarden. Migreer en verifieer tussenoplossingen.
Alleen de volledige patch behandelt alle varianten. Instellingen kunnen uploads, prestaties en beschikbaarheid beïnvloeden. Administratief vóór parsing toepassen en alle workers herstarten. Lees beide adviezen. CDN en WAF bewijzen geen gepatchte PHP.
Begin bij de versie. Volg het bewijs. Controleer de workers die uw site daadwerkelijk bedienen.