PHP2Shell: overheden in Nederland en Finland halen websites offline na uitgelekte kwetsbaarheden

Dat meldt Check Point Research op basis van onderzoek. De kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, zitten in de PHP-engine zelf en staan samen bekend als PHP2Shell. PHP draait onder een groot deel van het web, waaronder websites en webwinkels op WordPress, Drupal, Joomla of Magento, shared hostingplatforms, de beheerpanelen cPanel en Plesk en veel commerciële software. Een aanvaller kan via de lekken op afstand eigen code laten uitvoeren op een kwetsbare server, zonder in te loggen. Dat kan leiden tot datadiefstal, aanvallen op gekoppelde systemen of storingen. De details lekten uit vóór de geplande bekendmaking, waardoor verdedigers minder tijd hadden om zich voor te bereiden. Inmiddels circuleren ook screenshots van een aanvalstool, wat volgens Check Point Research erop wijst dat misbruik van theorie in praktijk overgaat.

Europa zwaarder getroffen dan andere regio's

In Europa kreeg 14 procent van de organisaties sinds de bekendmaking met aanvalspogingen te maken, meer dan het dubbele van de 6 procent in Noord-Amerika, Latijns-Amerika en Azië-Pacific. Afrika heeft met 4 procent het laagste percentage. Van de 18 landen met het hoogste percentage liggen er 16 in Europa. Hongarije staat bovenaan met 38 procent, gevolgd door Denemarken met 32 procent en Oostenrijk met 28 procent. Zweden en Roemenië komen elk op 22 procent. Portugal, Thailand en Servië halen 17 procent, Duitsland 16 procent en Nederland 15 procent. India zit op 14 procent, Noorwegen en Oekraïne op 13 procent, en Tsjechië, Polen, Spanje, Zwitserland en het Verenigd Koninkrijk op 12 procent. Thailand en India zijn de enige niet-Europese landen in die groep.

Per sector is de telecomsector het vaakst het doelwit, met 20 procent, tweemaal het wereldwijde gemiddelde. Onderwijs volgt met 18 procent. Media en entertainment en verenigingen en non-profitorganisaties komen elk op 16 procent. Overheidsorganisaties scoren 9 procent, financiële dienstverleners 8 procent en energie- en nutsbedrijven 6 procent. Biotechnologie en farmacie hebben met 5 procent het laagste percentage van de 23 gevolgde sectoren.

Updaten van het cms volstaat niet

Omdat de fout in PHP zelf zit, lossen updates van WordPress, een ander contentmanagementsysteem of bijbehorende plug-ins het probleem niet op. PHP moet op de server zelf worden bijgewerkt. Oplossingen zijn beschikbaar in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. PHP 8.1 en oudere versies blijven kwetsbaar tenzij de oplossing daarvoor wordt teruggeporteerd. Daarom vormen niet-ondersteunde versies een bijzonder risico.

Check Point Research adviseert organisaties eerst na te gaan waar PHP draait, ook in containers en software van derden, en daarna eerst de systemen aan te pakken die vanaf internet bereikbaar zijn. Wie een externe hostingpartij gebruikt, moet die vragen of de update is doorgevoerd. Na het bijwerken moeten de betrokken diensten opnieuw worden gestart en moet worden gecontroleerd of de gepatchte versie daadwerkelijk draait. Systemen die niet snel te patchen zijn, kunnen tijdelijk offline worden gehaald of voor minder gebruikers bereikbaar worden gemaakt. Aanvullende maatregelen, zoals het blokkeren van aanvallen en het beperken van het verkeer tussen webservers en de rest van het bedrijfsnetwerk, kunnen tijd winnen maar vervangen de update niet.

Een update repareert geen eerdere schade

Een patch verwijdert geen schadelijke code die aanvallers al op een server hebben achtergelaten. Mogelijke aanwijzingen voor een geslaagde aanval zijn onverklaarde storingen van webdiensten, nieuwe of onbekende PHP-bestanden op websites, ongebruikelijke verzoeken aan webservers, webserverprocessen die systeemopdrachten uitvoeren en verbindingen van de server met onbekende externe adressen. Check Point Research houdt de situatie in de gaten en zegt de analyse bij te werken zodra er nieuwe informatie is.

De volledige analyse van Check Point Research is hier beschikbaar.