PHP2Shell: kritieke PHP-kwetsbaarheden en de maatregelen van HostingSquad
23-10-2026
Afgelopen woensdag, 21 oktober, zijn twee zeer ernstige beveiligingslekken in PHP bekendgemaakt. De kwetsbaarheden, gezamenlijk aangeduid als PHP2Shell, maakten het onder bepaalde omstandigheden mogelijk om zonder inloggegevens op afstand kwaadaardige code uit te voeren op een webserver. Vanwege de ernst van de kwetsbaarheden en de grote schaal waarop PHP wordt gebruikt, ontstond wereldwijd een uitzonderlijke beveiligingssituatie. Verschillende organisaties, waaronder Nederlandse overheidsinstanties, besloten uit voorzorg hun websites tijdelijk offline te halen.
Ook bij HostingSquad hebben we de ontwikkelingen vanaf het begin nauwlettend gevolgd. Vanaf het moment dat de ernst van de kwetsbaarheden duidelijk werd, lag onze volledige aandacht bij het beveiligen en controleren van onze infrastructuur, het intensief monitoren van verdachte activiteiten en het voortdurend beoordelen van de risico’s in overleg met onze beveiligingsleveranciers.
Daarnaast ontvingen we veel vragen van klanten over de kwetsbaarheden en de mogelijke gevolgen voor hun websites. Het beantwoorden van deze vragen nam eveneens veel tijd in beslag. Ondertussen kwam er gedurende donderdag en vrijdag steeds nieuwe informatie beschikbaar, waaronder aanvullende technische details en zelfs een nieuwe beveiligingswaarschuwing. Hierdoor bleef de situatie zich ontwikkelen en moesten we onze veiligheidsinschatting voortdurend bijstellen.
We hebben er daarom voor gekozen om onze aandacht eerst volledig te richten op de beveiliging en ondersteuning van onze klanten. Nu de belangrijkste beveiligingsmaatregelen zijn uitgevoerd en er meer duidelijkheid is over de kwetsbaarheden, geven we in dit bericht een uitgebreid overzicht van de situatie, de maatregelen die we hebben genomen en wat dit voor onze klanten betekent.
Wat is PHP2Shell?
PHP is een programmeertaal die wereldwijd wordt gebruikt voor het ontwikkelen van websites en webapplicaties. Onder andere WordPress, Joomla, Drupal en een groot aantal webshops maken gebruik van PHP.
De twee ontdekte kwetsbaarheden, geregistreerd als CVE-2026-109618 en CVE-2026-109619, kregen beide een ernstscore van 9,2 op een schaal van 10.
Het gaat om fouten in de manier waarop PHP onder bepaalde omstandigheden met het computergeheugen omgaat. Door speciaal samengestelde verzoeken naar een website te sturen, kan een aanvaller mogelijk misbruik maken van deze fouten.
Wanneer een dergelijke aanval succesvol is, kan een aanvaller onder andere bestanden en gegevens benaderen, websites aanpassen of kwaadaardige code op de server uitvoeren. Dit wordt ook wel Remote Code Execution (RCE) genoemd.
Wat deze kwetsbaarheden bijzonder ernstig maakt, is dat ze zich in PHP zelf bevinden. Ook websites waarvan het CMS, de plugins en de thema’s volledig zijn bijgewerkt, konden daardoor kwetsbaar zijn.
Een update van bijvoorbeeld WordPress alleen was dus niet voldoende. De oplossing moest worden aangebracht op het niveau van PHP.
Waarom gingen zoveel websites offline?
Al voordat de beveiligingsupdates beschikbaar kwamen, werd duidelijk dat het om uitzonderlijk ernstige kwetsbaarheden ging.
Het Nationaal Cyber Security Centrum (NCSC) adviseerde organisaties om kwetsbare systemen uit voorzorg offline te houden totdat de benodigde beveiligingsupdates geïnstalleerd konden worden.
Verschillende organisaties volgden dat advies op en maakten hun websites tijdelijk onbereikbaar.
Bij HostingSquad hebben we de situatie voortdurend beoordeeld. Daarbij moesten we rekening houden met twee belangrijke belangen: het beschermen van de websites en gegevens van onze klanten, en het voorkomen van onnodige onderbrekingen van hun dienstverlening.
We hebben ervoor gekozen om klantwebsites niet preventief offline te halen, maar de beveiligingssituatie zeer intensief te monitoren en onze risicoanalyse voortdurend bij te stellen op basis van de beschikbare informatie.
Deze keuze betekende nadrukkelijk niet dat de kwetsbaarheden zonder risico waren. Zolang de patches nog niet beschikbaar waren, bleef er een beveiligingsrisico bestaan. Daarom hebben we ons voorbereid om direct aanvullende maatregelen te treffen wanneer de situatie daar aanleiding toe zou geven.
Nieuwe inzichten over de risico’s
In de dagen na de bekendmaking werd steeds meer duidelijk over de daadwerkelijke risico’s.
Het NCSC meldde op vrijdag 23 oktober dat misbruik van de kwetsbaarheden technisch ingewikkelder blijkt dan aanvankelijk werd gedacht en dat de kans op grootschalig misbruik kleiner is dan eerder werd ingeschat.
Op dat moment was bij het NCSC slechts één melding van mogelijk misbruik in het buitenland bekend, waarbij niet was bevestigd dat de aanval daadwerkelijk succesvol was.
Deze ontwikkelingen laten zien hoe belangrijk het is om tijdens een beveiligingsincident de beschikbare informatie voortdurend opnieuw te beoordelen. De eerste inschattingen van een kwetsbaarheid kunnen veranderen naarmate beveiligingsonderzoekers meer inzicht krijgen in de technische details en de mogelijkheden voor misbruik.
Dat de kans op grootschalig misbruik inmiddels lager wordt ingeschat, betekent overigens niet dat de kwetsbaarheden onschuldig waren. Ook het NCSC benadrukt dat het zo snel mogelijk installeren van de beveiligingsupdates noodzakelijk blijft.
Welke maatregelen heeft HostingSquad genomen?
Vanaf het moment dat de ernst van de kwetsbaarheden duidelijk werd, hebben we verschillende maatregelen getroffen.
Intensieve beveiligingsmonitoring
We hebben de beveiligingslogs en inkomende verzoeken naar onze servers actief gemonitord. Daarbij is specifiek gelet op verdachte verzoeken en patronen die konden wijzen op pogingen om de kwetsbaarheden te misbruiken.
Daarnaast is op onze hostingservers standaard 24 uur per dag, 7 dagen per week malwaredetectie actief via cPGuard. Deze beveiliging is ook tijdens de dreiging actief gebleven.
Door de combinatie van actieve monitoring en onze bestaande beveiligingsmaatregelen konden we verdachte activiteiten nauwlettend volgen en waar nodig direct ingrijpen.
Contact met beveiligingsleveranciers
Tijdens de ontwikkelingen hebben we informatie ingewonnen en contact onderhouden met verschillende beveiligingsleveranciers, waaronder cPGuard, i365 en Cloudflare. Ook volgden we de technische informatie en beveiligingsupdates van CloudLinux.
Deze leveranciers hielden zich eveneens intensief bezig met de kwetsbaarheden en mogelijke aanvullende beschermingsmaatregelen.
Door deze informatie te combineren met onze eigen monitoring konden we de risico’s voortdurend opnieuw beoordelen en bepalen of aanvullende maatregelen noodzakelijk waren.
Voorbereid op direct ingrijpen
We hebben nadrukkelijk rekening gehouden met de mogelijkheid dat websites alsnog preventief offline gehaald moesten worden.
Wanneer we aanwijzingen voor misbruik, een duidelijke toename van gerichte aanvallen of verdachte malwareactiviteit hadden waargenomen, zouden we direct hebben ingegrepen. Daarbij behoorde het tijdelijk uitschakelen van websites nadrukkelijk tot de mogelijkheden.
Tijdens onze monitoring hebben we geen pogingen tot misbruik van PHP2Shell op onze infrastructuur waargenomen.
Dat is uiteraard geen absolute garantie dat er geen enkel kwaadaardig verzoek is geweest, maar onze beveiligingscontroles hebben geen aanwijzingen voor dergelijke aanvallen opgeleverd.
Tijdelijke afsluiting van mijn.hostingsquad.nl
Hoewel we ervoor gekozen hebben klantwebsites bereikbaar te houden, hebben we voor onze eigen klantomgeving een andere afweging gemaakt.
De omgeving mijn.hostingsquad.nl bevat belangrijke klant- en administratieve gegevens en biedt toegang tot verschillende beheerfuncties. Een eventuele beveiligingsinbreuk op deze omgeving zou daardoor grotere gevolgen kunnen hebben.
Vanwege het hogere risico hebben we besloten deze omgeving preventief van buitenaf onbereikbaar te maken totdat de benodigde beveiligingsupdates beschikbaar waren.
De klantomgeving is hierdoor ongeveer vier uur onbereikbaar geweest.
Zodra de beveiligingsupdates waren geïnstalleerd, hebben we de omgeving weer toegankelijk gemaakt.
Wanneer zijn de beveiligingsupdates geïnstalleerd?
Op woensdag 21 oktober omstreeks 16.00 uur Nederlandse tijd publiceerde het PHP-project de officiële beveiligingsupdates.
De HostingSquad-servers die geen CloudLinux gebruiken, zijn direct op woensdagmiddag rond 16.00 uur bijgewerkt.
Voor servers waarop CloudLinux wordt gebruikt, moesten we wachten totdat deze leverancier zijn eigen gepatchte PHP-pakketten beschikbaar stelde.
CloudLinux biedt namelijk aangepaste PHP-pakketten aan, waaronder versies die door het officiële PHP-project niet meer worden ondersteund. De benodigde beveiligingsoplossingen moesten ook in deze pakketten worden verwerkt.
Gedurende de avond en nacht hebben we de beschikbaarheid van deze updates nauwlettend gevolgd.
In de nacht van woensdag 21 op donderdag 22 oktober, rond 03.00 uur, waren de benodigde CloudLinux-updates beschikbaar. We hebben deze vervolgens direct geïnstalleerd.
Daarmee waren ook de oorspronkelijke PHP2Shell-kwetsbaarheden op onze CloudLinux-hostingservers verholpen.
De beveiligingsupdates zijn dus steeds geïnstalleerd zodra deze voor de betreffende serveromgeving beschikbaar kwamen.
Zijn oudere PHP-versies ook beschermd?
Ja. Een belangrijk voordeel van de PHP-pakketten die CloudLinux levert, is dat deze leverancier ook beveiligingsupdates beschikbaar stelt voor oudere PHP-versies.
CloudLinux heeft de oplossingen voor PHP2Shell daarom ook verwerkt in verouderde versies, waaronder PHP 5.x, PHP 7.x en oudere PHP 8.x-versies.
Hierdoor hoefden websites die afhankelijk zijn van oudere PHP-versies niet noodzakelijk direct naar een nieuwere PHP-versie te worden omgezet om deze specifieke kwetsbaarheden te verhelpen.
De beveiligingspatches worden bij deze oudere versies rechtstreeks in de bestaande PHP-pakketten verwerkt. Dit betekent ook dat het zichtbare PHP-versienummer niet altijd verandert na het installeren van de beveiligingsupdate.
We willen daarbij wel benadrukken dat het gebruik van een verouderde PHP-versie beveiligingsrisico’s met zich meebrengt.
Een beveiligingsupdate voor PHP2Shell betekent namelijk niet dat een verouderde PHP-versie daarmee volledig veilig is. Oudere versies ontvangen geen reguliere beveiligingsondersteuning meer vanuit het officiële PHP-project en kunnen andere kwetsbaarheden bevatten.
Bovendien zijn websites die nog afhankelijk zijn van dergelijke PHP-versies vaak gebouwd met verouderde software, waardoor ook op applicatieniveau aanvullende beveiligingsrisico’s kunnen bestaan.
We adviseren klanten daarom nadrukkelijk om over te stappen op een actuele, ondersteunde PHP-versie en hun website of CMS waar nodig te laten aanpassen.
Aanvullende beveiligingswaarschuwing van 23 oktober
Op vrijdag 23 oktober heeft het PHP-project een aanvullende beveiligingswaarschuwing gepubliceerd over CVE-2026-115560.
Onder een specifieke en weinig voorkomende combinatie van PHP-instellingen en applicatiecode blijkt nog een aanvullende mogelijkheid tot het uitvoeren van kwaadaardige code aanwezig te zijn, ook wanneer de eerdere beveiligingsupdates zijn geïnstalleerd.
Volgens het PHP-project is de betreffende situatie in de praktijk weinig waarschijnlijk, omdat hiervoor een ongebruikelijke combinatie van instellingen en handelingen binnen de applicatie noodzakelijk is.
Het PHP-project adviseert daarom om, zolang hiervoor nog geen definitieve update beschikbaar is, de volgende PHP-instelling uit te schakelen:
session.upload_progress.enabled=0
Deze instelling wordt gebruikt voor het bijhouden van de voortgang van bestandsuploads en is voor veel websites niet noodzakelijk.
We hebben deze aanvullende kwetsbaarheid eveneens bekeken en adviseren klanten bij wie deze specifieke situatie van toepassing is om aanvullende maatregelen te treffen. Afhankelijk van de gebruikte serverconfiguratie kan hiervoor onder andere een aanpassing van het .htaccess-bestand mogelijk zijn. Het is daarbij belangrijk dat de wijziging daadwerkelijk door PHP wordt toegepast voordat binnenkomende verzoeken worden verwerkt.
Het PHP-project heeft aangegeven dat deze aanvullende kwetsbaarheid in een volgende reguliere PHP-update definitief wordt verholpen.
Ook deze ontwikkeling blijven we volgen, zodat eventuele aanvullende beveiligingsupdates tijdig kunnen worden geïnstalleerd.
Wat betekent dit voor onze klanten?
De oorspronkelijke PHP2Shell-kwetsbaarheden zijn inmiddels op de hostinginfrastructuur van HostingSquad gepatcht.
Voor klanten op onze reguliere beheerde hostingservers was het niet nodig om zelf beveiligingsupdates voor deze twee kwetsbaarheden te installeren. Dit hebben wij op serverniveau uitgevoerd.
Ook tijdens de periode waarin we moesten wachten op de patches van CloudLinux zijn klantwebsites bereikbaar gebleven. Alleen onze eigen klantomgeving is uit voorzorg tijdelijk afgesloten geweest.
We blijven de ontwikkelingen rondom PHP2Shell volgen en houden onze beveiligingssystemen actief. Wanneer nieuwe informatie aanleiding geeft tot aanvullende maatregelen, zullen we die waar nodig treffen.
Beveiliging vraagt om voortdurende aandacht. Niet iedere kwetsbaarheid kan vooraf worden voorkomen en ook met uitgebreide beveiligingsmaatregelen kunnen risico’s nooit volledig worden uitgesloten.
Juist daarom vinden we het belangrijk om bij beveiligingsincidenten snel te handelen, de beschikbare informatie voortdurend te beoordelen en beveiligingsupdates direct te installeren zodra deze beschikbaar komen. Daarbij verliezen we ook de beschikbaarheid van de websites en diensten van onze klanten niet uit het oog.
Heeft u vragen over de beveiliging van uw website of over de PHP-versie die uw website gebruikt? Neem dan gerust contact met ons op.