Wie woensdagochtend Tweakers wilde openen, kreeg een onderhoudspagina. RTL Nieuws, DigiD, MijnOverheid, de Tweede Kamer en zelfs het Nationaal Cyber Security Centrum volgden. Niet omdat ze gehackt waren, maar omdat niemand wilde afwachten wat er zou gebeuren met twee lekken in PHP, de taal waar een groot deel van het web op draait. Als zelfs de grootste techsite van het land de stekker eruit trekt, weet je dat het serieus is. Het lek kreeg al snel een naam die je nog vaker gaat horen, PHP2Shell.
Wat PHP2Shell is
PHP is de programmeertaal achter WordPress, Drupal, Joomla, Nextcloud en talloze webshops. Elke keer dat jij een formulier verstuurt of een foto uploadt, verwerkt PHP dat verzoek op de server. Precies in dat verwerken zaten de fouten. De ene ontstaat als het geheugen opraakt terwijl PHP een verzoek nog maar half heeft ingelezen. De andere laat gegevens van een vorig verzoek achter, die een volgend verzoek kan misbruiken. Het resultaat is in beide gevallen hetzelfde. Een aanvaller stuurt één bewerkt verzoek en kan daarna zijn eigen code op de server draaien, zonder wachtwoord.
Het PHP-team gaf beide lekken een 9,2 op 10. De naam volgt een rijtje dat je misschien kent. Log4Shell zette eind 2021 de halve IT-wereld op zijn kop, React2Shell deed vorig jaar iets vergelijkbaars. Wie een lek zo noemt, bedoelt dat het simpel te misbruiken is en dat er enorm veel servers kwetsbaar zijn. Bij PHP2Shell klopt allebei, want volgens beveiligingsbedrijf Sansec zit de fout in elke PHP-versie vanaf 5.4.
Van eerste aanval tot patch
Wat dit lek bijzonder maakt, is de volgorde. Normaal hoor je pas van zo’n fout als de reparatie al klaarstaat. Deze keer lekten de details uit voordat er een update was, samen met een schermafbeelding van een aanvalstool die werd toegeschreven aan het beveiligingsbedrijf Calif.IO. En volgens Amazon was iemand er toen al dagen mee bezig.
| Wanneer | Wat er gebeurde |
|---|---|
| zaterdag 17 oktober | De lokservers van Amazon vangen een eerste aanvalspoging, vier dagen voor de openbaarmaking |
| dinsdag 20 oktober | PHP kondigt een noodupdate aan, de details en een screenshot van de aanvalstool lekken uit |
| woensdag 21 oktober, 9.43 uur | Cloudflare ziet de eerste aanvallen op websites |
| woensdag overdag | Tweakers, RTL Nieuws, DigiD, MijnOverheid, de Tweede Kamer en het NCSC gaan uit voorzorg offline |
| woensdag rond 15.35 uur | PHP brengt de herstelde versies 8.2.35, 8.3.36, 8.4.27 en 8.5.12 uit |
| woensdagavond | De meeste sites komen terug, hoster Combell meldt om 20.46 uur dat zijn gedeelde hosting is bijgewerkt |
| nacht naar donderdag | Hostnet en Vimexx melden dat al hun servers zijn bijgewerkt |
Die eerste regel is de belangrijkste. Het NCSC zegt dat het op Nederlandse domeinen nog geen misbruik heeft gezien. Maar ethisch hacker Wouter van Dongen wees er in het Reformatorisch Dagblad op dat een patch een eerdere inbraak niet terugdraait. Wie er in die vier dagen al tussen zat, kan een achterdeur hebben achtergelaten die na de update gewoon blijft werken. Daarom verwachten beveiligers dat dit verhaal nog weken of maanden doorloopt.
Moet jij iets doen?
Op je laptop, telefoon of console hoef je niets bij te werken. PHP draait op servers, niet op jouw apparaat. Voor de meeste mensen komt het advies dus neer op de komende weken scherp blijven op rare mails en berichten. Een gehackte site die je vertrouwt is precies de plek waar oplichters een nep-inlogscherm of een besmette download neerzetten.
Anders ligt het als je zelf iets host. Draai je Nextcloud op een NAS of een Raspberry Pi, een eigen WordPress-blog op een VPS of een ander webpakket op je thuisserver, dan ben jij de beheerder die de update moet installeren. Kijk welke PHP-versie draait, werk die bij naar een van de herstelde versies en herstart daarna PHP en je webserver. Zonder herstart blijft de oude, lekke versie gewoon actief. Draai je nog PHP 8.1 of ouder, dan krijg je van het PHP-project geen officiële fix meer. Dan is dit het moment om te upgraden of die dienst even van het internet te halen.
Staat je server achter Cloudflare, dan helpen hun firewallregels, ook op het gratis abonnement. Cloudflare zegt er zelf eerlijk bij dat dat een noodverband is en geen vervanging voor de update. Mijn advies is dus simpel. Een kwartiertje updaten is nu een stuk goedkoper dan straks uitzoeken wie er sinds vorige week op je server meekijkt.
Gepubliceerd op 22 oktober 2026. Klopt er iets niet? Laat het de redactie weten.
