Live: beveiligingslek in PHP (PHP2Shell)

Live update. Laatst bijgewerkt: woensdag 21 oktober, 21.08 uur

Twee ernstige beveiligingslekken in PHP zijn vandaag groot nieuws, onder meer bij de NOS en Tweakers. PHP is de techniek waarop de meeste websites, webapplicaties en webshops draaien, ook WordPress en WooCommerce. Op deze pagina leggen we uit wat dit PHP-lek betekent voor je website, welke maatregelen we hebben genomen en hoe we monitoren. De nieuwste update staat bovenaan.

“Dit is groot nieuws, maar we zitten er bovenop. Elke website die wij beheren wordt vandaag live gevolgd. Volg deze pagina voor de laatste stand.”

Justin van Dongen, JKC Media

Laatste updates

LIVE

21 oktober, 21.08 uur: update vanavond, verder morgen

De installatie van de PHP-update via onze hostingpartners loopt nog en gaat morgen verder. Ondertussen blijven de tijdelijke PHP-maatregelen en de extra firewall actief en blijft onze monitoring aan. Gebeurt er iets ongewoons, dan grijpen we direct in.

Je hoeft zelf niets te doen. Morgen werken we deze pagina uiterlijk om 10.00 uur weer bij.

21 oktober, 18.20 uur: installatie loopt, in nauw overleg met onze partners

De installatie van de PHP-update is nog in volle gang. We werken nauw samen met onze hostingpartners aan de uitrol op alle servers. Ondertussen controleert ons team de websites een voor een en werkt het eraan, zodat elke website goed draait op de nieuwe versie.

Tot die tijd blijven de tijdelijke PHP-maatregelen en de extra firewall actief en volgen we elke website live. Je hoeft zelf niets te doen.

21 oktober, 17.15 uur: installatie loopt nog

De PHP-update wordt nu op al onze servers uitgerold, samen met onze hostingpartners. Dat kost wat tijd, omdat elke server een voor een wordt bijgewerkt en gecontroleerd.

Tot de update overal is geïnstalleerd, blijven de tijdelijke PHP-maatregelen en de extra firewall actief en volgen we elke website live. Gebeurt er iets ongewoons, dan grijpen we direct in.

Je hoeft zelf niets te doen. We zetten de stand hier zodra de installatie klaar is.

21 oktober, 15.34 uur: PHP-update uitgebracht

Om 15.34 uur, iets eerder dan aangekondigd, verscheen de officiële beveiligingsupdate van PHP. Die dicht beide lekken (CVE-2026-109618 en CVE-2026-109619). De versies met de oplossing zijn:

• PHP 8.2.35
• PHP 8.3.36 (de meeste van onze websites draaien op deze versie)
• PHP 8.4.27
• PHP 8.5.12

Het advies van PHP zelf is duidelijk: update nu. Direct na de release zijn we begonnen met de installatie op onze servers, samen met onze hostingpartners. Na de installatie controleren we dat de websites echt op de nieuwe versie draaien.

Tijdens het installeren kan je website heel even onbereikbaar zijn. Merk je daarna iets vreemds? Mail naar service@jkc.media.

Voor PHP 8.1 en ouder komt er geen gewone update, alleen broncode voor ontwikkelaars die PHP zelf bouwen. Daarom zetten we de paar websites op een oudere versie vandaag over naar PHP 8.3.

We blijven elke website live volgen, ook na de update, en zetten de stand hier zodra de installatie op al onze servers klaar is.

21 oktober, 15.15 uur: dit hebben we tot nu toe gedaan

Sinds het nieuws vanochtend werkt ons hele team aan dit lek. Dit zijn de maatregelen die nu actief zijn:

• Alle servers en hostingaccounts nagelopen. Sinds 12.30 uur hebben we elke website die wij beheren gecontroleerd op onbekende bestanden, nieuwe beheerders en recente wijzigingen, ook onze test- en ontwikkelsites.
• PHP-versies op orde. Omdat we PHP bijwerken als vast onderdeel van ons onderhoud, draaiden vrijwel al onze websites al op een versie die de officiële update krijgt (8.2 of hoger). De paar uitzonderingen zetten we vandaag over.
• Tijdelijke PHP-maatregelen. Op onze servers hebben we de PHP-functie uitgezet die bij deze aanval wordt misbruikt (de upload-voortgang van sessies) en sessies strenger afgesteld. Dit zijn de tijdelijke maatregelen die beveiligingsexperts aanraden.
• Extra firewall. Op onze servers draait een firewall met regels die bekende aanvalspogingen op dit lek blokkeren.
• Live monitoring. We volgen alle activiteit op elke website die wij beheren live. Gebeurt er iets ongewoons, dan grijpen we direct in.
• Klanten geïnformeerd. We informeren onze klanten vandaag per mail, met een link naar deze pagina.

Deze maatregelen maken een aanval een stuk lastiger, maar alleen de officiële PHP-update lost het lek echt op. Die komt vandaag om 16.00 uur. We installeren hem direct op al onze servers en zetten de stand hier zodra dat klaar is.

21 oktober, 14.50 uur: extra firewall actief

Op onze servers draait nu daarnaast een firewall met regels die bekende aanvalspogingen op dit PHP-lek blokkeren voordat ze bij je website aankomen. Samen met de PHP-instellingen zijn dat twee beschermingslagen tot de update er is.

21 oktober, 13.30 uur: tijdelijke PHP-maatregelen actief

Op al onze hostingaccounts hebben we de upload-voortgang van PHP-sessies uitgezet, de functie die bij deze aanval wordt gebruikt, en sessies strenger ingesteld, zodat PHP alleen sessies accepteert die het zelf heeft aangemaakt. Per website hebben we gecontroleerd dat de instellingen echt actief zijn. Dat maakt een aanval een stuk lastiger.

21 oktober, 13.15 uur: we volgen elke website live

We volgen vandaag alle activiteit op elke website die wij beheren live. Gebeurt er ondanks de genomen maatregelen toch iets ongewoons, dan zien we dat in onze monitoring en grijpen we direct in. Op dit moment zien we geen reden om websites offline te halen. Dat doen we dus niet automatisch.

Wil je je website, applicatie of webshop liever offline halen tot de oplossing is geïnstalleerd? Dat kan. Mail naar service@jkc.media, dan regelen we het samen met je.

21 oktober, 13.00 uur: klaar voor de update

Het PHP-beveiligingsteam brengt vandaag om 16.00 uur een officiële update uit die de lekken dicht. Dit hebben we tot nu toe gedaan:

• Alle websites die wij beheren in kaart gebracht, inclusief de PHP-versie waarop ze draaien.
• We houden PHP bij als vast onderdeel van ons onderhoud. Daardoor draaiden vrijwel al onze websites al op PHP 8.3 voordat dit lek bekend werd. De paar die nog op een oudere versie draaien, zetten we vandaag over naar PHP 8.3, eerst met een back-up en daarna een test, zodat ook zij de update krijgen.
• We controleren de websites op tekenen van misbruik en blijven ze monitoren tot de update overal is geïnstalleerd.

Zodra de update beschikbaar is, installeren we die zo snel mogelijk. De volgende update op deze pagina verwachten we rond 16.30 uur, na de installatie.

21 oktober, 12.30 uur: alle servers en websites gaan nalopen

Direct na het nieuws zijn we elk hostingaccount gaan nalopen dat wij beheren, ook onze test- en ontwikkelsites: op welke PHP-versie elke website echt draait, of er de afgelopen dagen nieuwe of gewijzigde PHP-bestanden zijn bijgekomen en of er nieuwe beheerders zijn aangemaakt.

20 oktober, 22.32 uur: PHP meldt twee kritieke lekken

PHP meldde twee kritieke kwetsbaarheden, allebei met een ernstscore van 9,2 op 10. Details lekten uit voordat er een oplossing klaar was. Daarom komt de update versneld.

Online laten of offline halen: jij kiest

Online laten (de meeste klanten doen dit)

We hebben extra maatregelen genomen om je website online te beschermen, en we volgen alle websites die JKC actief beheert live. Gebeurt er iets ongewoons, dan zijn we er direct bij.

Tijdelijk offline halen

Heb je liever dat je website even offline gaat tot de update er is? Dat kan ook. Wij zetten hem tijdelijk offline en weer online zodra de update is geïnstalleerd. Mail naar service@jkc.media of antwoord op onze mail.

Wat betekent dit voor je website, webshop of webapplicatie?

PHP draait op de server, achter je website. Volgens beveiligingsonderzoekers kan een aanvaller via deze lekken eigen code uitvoeren op die server, zonder in te loggen. Dat kan gevolgen hebben voor je website, je webshop of je webapplicatie (bijvoorbeeld een applicatie in Laravel), en de gegevens daarin. Het lek zit in PHP zelf, niet in WordPress, een plugin of iets wat jij hebt gedaan. Daarom moet de oplossing op de server worden geïnstalleerd, en dat is ons werk.

Wat is PHP2Shell?

PHP2Shell is de naam voor twee lekken in PHP, bekend als CVE-2026-109618 en CVE-2026-109619. Meer achtergrond staat in het beveiligingsadvies van CERT-EU. Alleen ondersteunde PHP-versies krijgen de officiële oplossing.

Welke PHP-versies krijgen de update?

PHP-versie	Krijgt de update?
8.5, 8.4, 8.3 en 8.2	Ja, vanaf 21 oktober
8.1 en ouder	Nee, overstappen nodig

Wordt je website niet door ons gehost? Zo check je je PHP-versie:

• WordPress: ga naar Extra, Sitediagnose, tabblad Informatie, kopje Server.
• Laravel of een andere webapplicatie: vraag het je ontwikkelaar, of kijk bij de PHP-instellingen in je hostingpaneel.
• Hostingpaneel (zoals DirectAdmin of cPanel): zoek naar PHP-versie of PHP Selector.
• Twijfel je? Vraag je hostingpartij op welke PHP-versie je site draait en of de PHP-update van 21 oktober wordt geïnstalleerd.

Moet je zelf iets doen?

Nee, heb je een onderhoudscontract bij ons of hosten wij je website? Dan regelen wij het. Merk je toch iets vreemds aan je website, hoe klein ook? Bijvoorbeeld onbekende gebruikers, pagina’s die er anders uitzien, vreemde doorverwijzingen of e-mails die je niet verwacht? Mail het dan direct naar service@jkc.media of bel +31 40 369 0296. We kijken er meteen naar.

Je hosting ergens anders? Vraag je hostingpartij of de PHP-update van 21 oktober wordt geïnstalleerd en of je site op PHP 8.2 of hoger draait. Oudere versies krijgen geen update.