Wat is PHP2Shell?
PHP2Shell omvat CVE-2026-109618 en CVE-2026-109619, geheugenfouten in PHP zelf met CVSS v4.0 9,2. Onderzoekers toonden code-uitvoering zonder authenticatie en geheugenlekken aan. PHP publiceerde op 21 oktober 2026 patches. Het betreft de interpreter, niet slechts één CMS.
Welke installaties controleren?
Werk alle Web-installaties bij: FPM, mod_php, php-cgi, FrankenPHP en LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel en eigen apps delen het risico. Neem beheerinterfaces, apparaten, testomgevingen en containers mee. Een app-update vervangt PHP niet.
Is FPM uitgezonderd?
Nee. FPM beëindigt het kind als opstarten van de aanvraag mislukt en voorkomt bepaalde startreeksen. Applicatie- en aanvraagoverstijgende paden blijven. Niet elke omgeving is identiek exploiteerbaar aan mod_php; FPM vervangt evenmin een patch.
Distributie-backports
Ubuntu, Debian en zakelijke Linux behouden soms oude upstream-nummers met gepatchte revisies. Een banner 8.3.6 bewijst geen kwetsbaarheid of herstel. Koppel OS, repository, architectuur en revisie aan BEIDE CVE’s. Wij verzinnen geen pakketgrenzen.
PHP 8.1 en ouder
Geen reguliere PHP-releases. Minimale broncode-backports voor 7.4, 8.0 en 8.1 zijn uitzonderingen; bouwen en toetsen is aan de beheerder. OS- of LTS-leveranciers kunnen pakketten onderhouden. Onderzoek vanaf 5.4 met verschillende voorwaarden. Migreer en verifieer tussenoplossingen.
Tijdelijke maatregelen zijn onvolledig
Alleen de volledige patch behandelt alle varianten. Instellingen kunnen uploads, prestaties en beschikbaarheid beïnvloeden. Administratief vóór parsing toepassen en alle workers herstarten. Lees beide adviezen. CDN en WAF bewijzen geen gepatchte PHP.
Patchen sluit inbraak niet uit
Versievergelijking vindt geen eerdere exploitatie. Bewaar logs en imagebewijs, onderzoek crashes, bestanden, processen en uitgaand verkeer. Geen fouten betekent niet veilig. Isoleer bij verdenking en vervang blootgestelde geheimen vanuit een vertrouwde omgeving na beheersing.
Beoordelingsmethode
De handmatige vergelijking gebruikt volledige stabiele versies van vier gepubliceerde takken. Vendorpakketten vereisen bewijs voor beide CVE’s; onbekende builds blijven onbekend. De openbare controle verzamelt versies en aanwijzingen, geen exploitbewijs. Verborgen headers, een CDN of één bijgewerkte replica bewijzen geen veiligheid voor alle runtimes. Datums betreffen redactionele controle.
Bewijst een gratis scanner een hack?
Niet sluitend. Headers en patronen geven aanwijzingen zonder volledige runtime, ontbrekende historie of geheugenlekken. Inventariseer, bewaar en koppel. Isoleer bij vreemde accounts, processen of onverklaarde lekken en betrek hoster of incidentteam.
Poging of geslaagde inbraak? →