Alle servers van Dynalogical zijn voorzien van de beveiligingspatches voor PHP2Shell. Vanaf 16.00 uur gerekend waren al onze klanten binnen een uur weer volledig online. Daarmee is de tijdelijke onderbreking voor onze klanten voorbij.
Op woensdag 21 oktober gingen wereldwijd websites tijdelijk offline vanwege twee ernstige beveiligingslekken in PHP. Ook bekende Nederlandse overheidswebsites waren tijdelijk niet bereikbaar. Bij Dynalogical hebben wij de getroffen websites en applicaties uit voorzorg offline gehaald en vervolgens alle servers gepatcht.
Wat maakte deze kwetsbaarheden zo ernstig? En waarom was een update op de servers noodzakelijk?
Wat is PHP2Shell?
PHP2Shell is de naam voor twee kritieke kwetsbaarheden in PHP: CVE-2026-109618 en CVE-2026-109619. Beide kregen een ernstscore van 9,2 op een schaal van 10.
Via deze kwetsbaarheden konden aanvallers zonder inloggegevens eigen code uitvoeren op kwetsbare servers. Dat heet remote code execution. Mogelijke gevolgen waren het uitlezen van gevoelige gegevens, het aanpassen van websites en het verstoren van systemen.
De oorzaak zat in de manier waarop PHP het werkgeheugen beheert tijdens het verwerken van verzoeken:
- CVE-2026-109618: fouten bij een geheugentekort. PHP kon een verzoek afbreken terwijl interne gegevens nog niet volledig waren opgebouwd. Bij het opruimen kon PHP die ongeldige gegevens vervolgens toch gebruiken.
- CVE-2026-109619: achtergebleven verwijzingen naar geheugen. Interne informatie kon blijven verwijzen naar geheugen dat al was vrijgegeven. Een volgend verzoek binnen hetzelfde werkproces kon die verouderde verwijzingen opnieuw gebruiken.
Waarom konden zo veel websites worden geraakt?
PHP vormt de basis van veel websites, webshops en applicaties. Volgens W3Techs gebruikt 69,3% van de websites waarvan de programmeertaal aan de serverkant bekend is, PHP. Het mogelijke bereik van deze kwetsbaarheden was daardoor groot.
De fouten zaten in PHP zelf. Daardoor konden ook zorgvuldig gebouwde websites risico lopen zodra zij op een kwetsbare PHP-versie draaiden. Onder meer WordPress, Drupal, Joomla en Magento gebruiken PHP.
Volgens de officiële PHP-melding liepen alle PHP-installaties die webverzoeken afhandelen risico. Daaronder vallen PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. PHP beoordeelde het risico bij mod_php als het hoogst: daar was een aanval aangetoond die kon starten voordat de code van de website zelf werd uitgevoerd.
Ook DigiD, CJIB, RIVM en andere overheidswebsites gingen offline
De gevolgen waren in Nederland breed zichtbaar. Onder meer de publieke website van DigiD, MijnOverheid en Overheid.nl werden uit voorzorg offline gehaald.
Ook websites van het RIVM, CJIB, de Tweede Kamer en het Nationaal Cyber Security Centrum waren tijdelijk niet bereikbaar. Zelfs de organisatie die over de kwetsbaarheden waarschuwde, moest dus maatregelen nemen voor haar eigen website.
Bij DigiD is het onderscheid tussen de website en de inlogdienst belangrijk. Terwijl de publieke website offline was, kon de DigiD-app bij verschillende diensten nog worden gebruikt, waaronder de RDW.
Deze websites werden preventief uitgeschakeld. Dat een website tijdelijk offline ging, betekent op zichzelf niet dat deze was gehackt of dat er gegevens waren buitgemaakt.
De eerste aanvallen werden al vóór de patch gemeld
Op 20 oktober lekte informatie over de kwetsbaarheden uit, vóór de geplande gezamenlijke bekendmaking. De publieke beveiligingsrelease werd vervolgens aangekondigd voor woensdag 21 oktober om 16.00 uur Nederlandse tijd. De patches verschenen uiteindelijk iets eerder.
Volgens ITdaily, nu.nl & NOS meldde Cloudflare die ochtend al de eerste aanvallen. De dreiging speelde dus al voordat de beveiligingsupdate publiek beschikbaar was.
Bij het onderzoek speelde ook AI een rol. Wiz beschrijft hoe AI hielp om complexe fouten te onderzoeken en aan te tonen hoe deze konden worden misbruikt.
Waarom een firewall geen volledige oplossing bood
Cloudflare rolde extra beveiligingsregels uit om verdachte verzoeken tegen te houden. Zo’n web application firewall controleert het verkeer voordat het de server bereikt. Deze bescherming gold voor websites waarvan het verkeer via Cloudflare liep, ook binnen het gratis abonnement.
Zulke maatregelen konden het risico beperken. De fout in PHP bleef echter aanwezig totdat de update was geïnstalleerd. Het PHP-securityteam benadrukte daarom dat tijdelijke maatregelen geen volledige bescherming boden.
Daarom hebben wij de getroffen websites en applicaties uit voorzorg tijdelijk offline gehaald. Die keuze sloot aan bij het advies van CERT-EU om kwetsbare toepassingen af te schermen wanneer direct patchen nog niet mogelijk was.
Welke updates hebben de kwetsbaarheden verholpen?
PHP bracht beveiligingsupdates uit voor de ondersteunde versies: PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. De oplossing moest worden toegepast op de PHP-software op de servers. Alleen WordPress, een thema of plug-ins bijwerken zou de onderliggende PHP-fouten niet verhelpen.
Voor oudere installaties was de situatie lastiger. PHP 8.1 en ouder ontvangen geen reguliere updates meer vanuit het PHP-project. Vanwege de ernst zijn wel beperkte broncodepatches beschikbaar gesteld voor PHP 7.4, 8.0 en 8.1. Sommige Linuxdistributies en leveranciers met langdurige ondersteuning leveren daarnaast eigen bijgewerkte pakketten.
Onze klanten waren vóór 17.00 uur weer volledig online
Bij Dynalogical stonden wij klaar om de beveiligingspatches door te voeren. Vanaf 16.00 uur hebben wij alle servers bijgewerkt. Binnen een uur waren al onze klanten weer volledig online.
Daarmee zijn beide PHP2Shell-kwetsbaarheden op onze servers gepatcht en is de tijdelijke onderbreking voor onze klanten voorbij. Websites, webshops en applicaties zijn weer bereikbaar.
Bedankt voor jullie geduld en het vertrouwen in onze aanpak.
