Wat is PHP2Shell?
PHP2Shell omvat CVE-2026-109618 en CVE-2026-109619, geheugenfouten in PHP zelf met CVSS v4.0 9,2. Onderzoekers toonden code-uitvoering zonder authenticatie en geheugenlekken aan. PHP publiceerde op 21 oktober 2026 patches. Het betreft de interpreter, niet slechts één CMS.
Welke installaties controleren?
Werk alle Web-installaties bij: FPM, mod_php, php-cgi, FrankenPHP en LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel en eigen apps delen het risico. Neem beheerinterfaces, apparaten, testomgevingen en containers mee. Een app-update vervangt PHP niet.
Is FPM uitgezonderd?
Nee. FPM beëindigt het kind als opstarten van de aanvraag mislukt en voorkomt bepaalde startreeksen. Applicatie- en aanvraagoverstijgende paden blijven. Niet elke omgeving is identiek exploiteerbaar aan mod_php; FPM vervangt evenmin een patch.
PHP 8.1 en ouder
Geen reguliere PHP-releases. Minimale broncode-backports voor 7.4, 8.0 en 8.1 zijn uitzonderingen; bouwen en toetsen is aan de beheerder. OS- of LTS-leveranciers kunnen pakketten onderhouden. Onderzoek vanaf 5.4 met verschillende voorwaarden. Migreer en verifieer tussenoplossingen.
PHP2Shell eenvoudig uitgelegd
PHP is de motor achter WordPress, Laravel en plug-ins. Een plug-inupdate werkt PHP niet bij. Twee geheugenfouten kunnen abnormale requestopruiming veranderen in gegevenslekken of code-uitvoering. De openbare controle geeft aanwijzingen; de beheerder moet de echte Web-runtime en patch bevestigen.
PHP2Shell-hulpmiddelen →Bewijs per PHP-runtime
| Runtime | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE aangetoond | RCE aangetoond |
| PHP-FPM | Applicatieafhankelijke blootstelling; geen volledige FPM-exploit voor deze CVE aangetoond | RCE aangetoond via een geschikt applicatiepad |
Werk ook php-cgi, FrankenPHP en LiteSpeed bij. PHP adviseert alle Web-installaties bij te werken. De tabel onderscheidt aangetoonde paden van algemene blootstelling.