De website is tijdelijk niet bereikbaar (hopelijk vanavond weer online). We hebben onze systemen uit voorzorg offline gehaald vanwege kritieke PHP2Shell-kwetsbaarheden.

Wat is er aan de hand?

PHP is een veelzijdige scriptingtaal die dynamische webpagina's kan aanmaken. 69,3 procent van alle websites wereldwijd gebruikt die scriptingtaal. PHP vormt de basis voor het veelgebruikte WordPress en zit ook in Joomla, Drupal, Magento en andere websoftware.

De PHP-ontwikkelaars waren van plan hun patches donderdag uit te brengen, maar informatie over de kwetsbaarheden lekte afgelopen nacht uit. Het ontwikkelteam komt om 16.00 uur met meer informatie en verwacht dan ook de patches uit te brengen. Online gaan tips rond over beperkende maatregelen, maar die lijken onvoldoende bescherming te bieden. Naast Tweakers zijn onder meer RTL Nieuws, Mijnoverheid.nl, DigiD en de website van de Tweede Kamer uit voorzorg offline gegaan.

Websites overnemen

De twee kritieke kwetsbaarheden in PHP (CVE-2026-109618 en CVE-2026-109619) hebben een score van 9,2 op de CVSS v4.0-schaal, die tot 10 gaat. Dat hoge cijfer is gebaseerd op de ernst van een kwetsbaarheid en op hoe makkelijk aanvallers die kunnen misbruiken. De kwetsbaarheden zouden al sinds versie 5.4.0 in PHP zitten, die in maart 2012 uitkwam. Aanvallers kunnen door de kwetsbaarheden eigen webpagina's publiceren. Daardoor kunnen zij mogelijk malware verspreiden. Daarnaast zou de zogeheten PHP2Shell-exploit het mogelijk maken om eigen code uit te voeren op kwetsbare servers.

Volgens verschillende beveiligingsadviezen kan het helpen om session.upload_progress.enabled uit te schakelen. Een bijbehorende tijdelijke oplossing zou zijn om session.use_strict_mode in te schakelen. Beveiligingsexpert Kevin Beaumont meldt dat de Linux-kernelbeveiligingsmodule AppArmor of SELinux ook bescherming biedt tegen misbruik van deze grote PHP-kwetsbaarheden.

Alleen patchen beschermt echt

Verder zou een van de twee kwetsbaarheden te maken hebben met multipart POST-requests. Voor websites waar uploads in meerdere delen niet nodig zijn, kunnen beheerders zulke dataverzoeken blokkeren en daarmee kwetsbare systemen beschermen. Mogelijk kunnen ook diensten voor contentdistributie, zoals Akamai en Cloudflare, helpen om PHP-installaties af te schermen tegen kwaadwillige dataverzoeken waarmee aanvallers PHP2Shell willen binnenbrengen. Een kernontwikkelaar van PHP schrijft in een bericht dat alleen het patchen van PHP echt beschermt.

De verwachte patches zijn voor PHP 8.2 tot en met 8.5. Die versies krijgen nog ondersteuning. Oudere versies, die dus ook kwetsbaar zijn, krijgen officieel geen patches meer. Versie 8.1 is sinds januari dit jaar end-of-life en versie 8.0 sinds eind 2023. Gebruikers van oudere versies krijgen normaal gesproken al het advies om zo snel mogelijk te upgraden, omdat zij anders kwetsbaar blijven voor ongepatchte kwetsbaarheden. Het is niet zeker of deze oudere versies echt geen patches ontvangen voor deze kritieke kwetsbaarheden.