Als u vandaag websites in onderhoudsmodus bent tegengekomen, kan dit een veiligheidsmaatregel zijn. Meldingen van aanvallen gericht op twee kritieke PHP-kwetsbaarheden hebben geleid tot waarschuwingen om noodupdates te installeren en te overwegen de getroffen diensten tijdelijk offline te halen totdat de problemen zijn opgelost.
De kwetsbaarheden, bekend als PHP2Shell, worden geregistreerd onder de nummers CVE-2026-109618 en CVE-2026-109619. Beide hebben een ernstscore van 9,2 op 10.
Waarom dit belangrijk is
PHP is een programmeertaal die achter de schermen een groot deel van het web aandrijft. Het vormt de basis van WordPress, Drupal, Joomla, Magento en vele andere applicaties, waaronder software waarvan gebruikers zich misschien niet realiseren dat PHP erbij betrokken is.
Succesvolle exploitatie zou een aanvaller in staat stellen om kwaadaardige code uit te voeren op een getroffen server zonder in te loggen. Die code zou worden uitgevoerd met de rechten die beschikbaar zijn voor het PHP-proces, waardoor aanvallers mogelijk applicatiegegevens kunnen stelen, websitecontent kunnen wijzigen of een backdoor kunnen creëren.
Het PHP-team zegt dat alle PHP-installaties die webverzoeken verwerken, risico lopen. In sommige configuraties kan een aanvaller een beveiligingslek activeren nog voordat de code van de website zelf wordt uitgevoerd.
Dane Knecht, de Chief Technology Officer van Cloudflare, heeft melding gemaakt van "de eerste aanvallen" en waarschuwt dat firewall- maatregelen slechts een tijdelijke oplossing zijn.
Noodpleisters zijn nu verkrijgbaar.
Het PHP-team had zijn noodupdates voor de beveiliging gepland voor 21 oktober om 10:00 uur ET (14:00 UTC). Er zijn nu patches uitgebracht voor PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 , en gebruikers worden dringend verzocht om direct te updaten. Beheerders dienen bij hun hostingprovider of leverancier van het besturingssysteem na te gaan welke updates beschikbaar zijn.
Het kan voorkomen dat websites nog steeds offline zijn terwijl beheerders de updates installeren en hun systemen controleren.
CERT-EU adviseert om PHP-gebaseerde applicaties te identificeren en zo snel mogelijk te patchen. Indien een onmiddellijke oplossing niet mogelijk is, adviseert CERT-EU om applicaties die met internet verbonden zijn te isoleren van openbare netwerken.
Het risico kan langer aanhouden dan de huidige noodsituatie.
De zorg op de langere termijn betreft vergeten infrastructuur: verlaten websites, niet-ondersteunde applicaties en verbonden apparaten met PHP-gebaseerde beheerinterfaces. Kwetsbare installaties kunnen onbeveiligd blijven als niemand ze onderhoudt of als een leverancier geen updates meer levert.
PHP 8.1 en oudere versies ontvangen geen reguliere beveiligingsupdates meer van het PHP-project. Beheerders die deze versies gebruiken, moeten nagaan of hun leverancier een oplossing biedt of een upgrade naar een ondersteunde versie regelen.
Website-eigenaren moeten vaststellen wie hun onderliggende PHP-installatie bijwerkt. Het bijwerken van WordPress of de bijbehorende plugins is niet hetzelfde als het bijwerken van PHP. Mogelijk moeten hostingproviders of serverbeheerders de oplossing implementeren.
Voor bezoekers betekent tijdelijke downtime op zich niet dat een website is gehackt. Het kan een voorzorgsmaatregel zijn terwijl de beheerders updates installeren.
Consumenten moeten echter extra voorzichtig zijn, want een "vertrouwde website" is mogelijk niet langer betrouwbaar, en niet alleen vanwege PHP2Shell, maar ook vanwege acht gecompromitteerde TLS-certificaten .
Shahak Shalev, wereldwijd hoofd van het onderzoek naar oplichting en AI bij Malwarebytes , gezegd:
“Dit is een goudmijn voor hackers Ze kunnen legitieme websites kapen om misbruik te maken van de reputatie van de site en bijvoorbeeld mensen te phishen of kwaadaardige software te verspreiden via een zogenaamd vertrouwd kanaal. De mogelijkheden zijn eindeloos.”
Wat te doen
Als u een websitebezoeker bent:
- Sommige websites kunnen tijdelijk offline zijn terwijl ze worden bijgewerkt.
- Let op onverwachte inhoud, downloads of omleidingen, en herhaalde inlogverzoeken, zelfs op bekende websites.
- Als er iets niet klopt, verlaat dan de pagina.
- Je hoeft geen PHP-updates op je eigen apparaat te installeren.
Bent u de eigenaar van een website?
- Vraag uw hosting- of IT-provider om te bevestigen dat PHP-fixes daadwerkelijk zijn geïnstalleerd , en niet alleen ingepland, voor al uw websites en applicaties.
- Als ze de patch niet direct kunnen uitvoeren, vraag dan of de getroffen diensten tijdelijk offline moeten worden gehaald.
- Als u uw eigen servers beheert, volg dan de update-instructies van PHP .
- Gebruik je een niet-ondersteunde PHP-versie? Controleer of de leverancier een update heeft uitgebracht of upgrade naar een ondersteunde versie.
Wat Malwarebytes doet
- Wij helpen u beschermen tegen gehackte websites: Malwarebytes webbeveiliging en Browser Guard blokkeren bekende schadelijke sites, frauduleuze pagina's en gevaarlijke downloads. Onze onderzoekers houden websites in de gaten die via deze kwetsbaarheden zijn gecompromitteerd, zodat we ze snel aan onze blokkeerlijsten kunnen toevoegen.
- Het bijwerken van onze eigen websites: We maken gebruik van een managed hostingprovider en werken met hen samen om de PHP-fixes te installeren. We houden onze websites nauwlettend in de gaten totdat de updates zijn doorgevoerd.
Voorkom bedreigingen voordat ze schade kunnen aanrichten.
Malwarebytes Browser Guard Blokkeert automatisch phishingpagina's en kwaadwillende websites. Gratis, installeren met één klik. Voeg het toe aan je browser →
