Een week na de updates voor de PHP2Shell-lekken waarschuwt het Amerikaanse cyberagentschap CISA dat aanvallers ze echt misbruiken. Het NCSC kent in Nederland nog maar één melding, die niet is bevestigd. Het misbruik blijkt lastiger dan eerst gedacht. Dat is goed nieuws, maar geen reden om de update te laten liggen.
Vraag uw websitebouwer of hostingpartij deze week twee dingen: is PHP bijgewerkt na de update van 21 oktober, en draait onze website op een PHP-versie die nog ondersteund wordt? Voor versies zonder ondersteuning komt geen update meer. Die moeten naar een nieuwere versie.
Het beeld is in een week bijgesteld: minder dramatisch dan de eerste berichten, maar niet vrijblijvend.
CISA, het cyberagentschap van de Amerikaanse overheid, zegt dat aanvallers misbruik maken van de twee PHP-kwetsbaarheden. Details over de aanvallen zijn niet gegeven. Amerikaanse overheidsinstanties moesten de lekken binnen drie dagen dichten en onderzoeken of ze al waren binnengedrongen. Via de lekken kan een aanvaller zonder inlog code uitvoeren op een kwetsbare server.
Het NCSC kent op dit moment één melding van mogelijk misbruik in het buitenland, en niet bevestigd is dat die aanval ook echt slaagde. Verder onderzoek laat volgens het NCSC zien dat misbruik ingewikkeld is en dat grootschalig misbruik minder waarschijnlijk is dan eerst werd ingeschat.
Een aanvaller moet eerst achterhalen waar in het geheugen bepaalde onderdelen staan, en die plekken worden normaal afgeschermd door een beveiliging die ASLR heet. Zonder die omweg werkt de aanval niet. Eerdere meldingen van veel aanvallen bleken bovendien grotendeels waardeloze, door AI gemaakte pogingen die niet goed werkten.
Onderzoeksstichting Shadowserver telde bijna 20.000 PHP-installaties in Nederland die een versie draaien waar niets meer voor wordt uitgebracht. Het werkelijke aantal ligt waarschijnlijk hoger, omdat de meeste installaties hun versie niet laten zien. Voor die systemen is geen update beschikbaar, en juist die vragen om aandacht.
Vraag uw websitebouwer en hostingpartij welke PHP-versie uw website, webshop en klantportaal gebruiken en of de update van 21 oktober is geïnstalleerd. Vraag ook naar systemen buiten de website waar PHP op draait, zoals een NAS of een intern hulpmiddel.
Draait iets op een versie zonder ondersteuning, plan dan de overstap naar een nieuwere PHP-versie in. Soms moet de website daarvoor worden aangepast, dus begin op tijd.
Spreek af wie updates installeert en hoe snel. King Kong Web bouwt en onderhoudt websites voor ondernemers, en SOSO Hosting biedt managed hosting. Met onze Security Check brengen wij in kaart welke systemen u van buitenaf zichtbaar heeft. Voor computers en servers op kantoor regelen wij updates via Managed IT.
Een hele site offline halen is niet nodig. Op uw eigen laptop of telefoon hoeft u voor dit lek niets te doen. Het gaat om servers waar PHP op draait. Hebt u de updates van vorige week al laten installeren, dan hoeft u alleen nog de versievraag te stellen.
Nee. Het misbruik is lastiger dan eerst gedacht, maar het is niet onmogelijk en de Amerikaanse overheid ziet het gebeuren. Een update installeren kost weinig, een gehackte website kost veel. Plan het gewoon in.
PHP-versies krijgen een bepaalde periode updates. Daarna komen er geen beveiligingsfixes meer, ook niet voor dit lek. Een website op zo'n versie moet naar een nieuwere PHP-versie, en soms moet er dan ook iets aan de site worden aangepast.
Vraag het uw websitebouwer of hostingpartij. Bij WordPress ziet een beheerder de PHP-versie in het dashboard onder Siteconditie. Zelf raden is niet nodig, een kort mailtje met de vraag naar de PHP-versie is genoeg.
Bron: Security.NL, ‘Amerikaanse overheid waarschuwt voor misbruik van PHP2Shell-lekken’, 27 oktober 2026, met daarin het NCSC-bulletin en de telling van Shadowserver. De uitleg en de maatregelen hierboven zijn van ons.
Wij zoeken het voor u uit: welke systemen u van buitenaf zichtbaar heeft, welke versies erop draaien en wat er bijgewerkt of vervangen moet worden. U krijgt een duidelijk overzicht, zonder verplichtingen.
Klaar om te versnellen? Vrijblijvend adviesgesprek.
Afspraak plannenDe Darkweb Scan is gratis, kost u twee velden en levert een rapport op dat u ook zonder ons kunt gebruiken.
Vink aan wat u wilt. U ziet meteen wat het per maand wordt voor uw kantoor.
Stap 1 van 3: wat heeft u nodig?