PHP2Shell-kwetsbaarheden maken overname van webserver zonder inloggen mogelijk; Amerikaanse CISA, NSA en FBI waarschuwen direct te patchen of servers uit te schakelen

WASHINGTON

In PHP, een programmeertaal die veelvuldig wordt gebruikt op websites en webapplicatieservers, zijn twee kritieke kwetsbaarheden ontdekt waarmee zonder inloggen commando’s op de server kunnen worden uitgevoerd. Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA), de National Security Agency (NSA) en het Federal Bureau of Investigation (FBI) hebben achtereenvolgens aangedrongen op onmiddellijke patching. De drie instanties maakten van 21 tot en met 23 oktober (Amerikaanse tijd) via waarschuwingen, persberichten en een openbare mededeling (PSA) de kwetsbaarheidsnummers CVE-2026-109618 en CVE-2026-109619 bekend. Alle drie deelden zij het advies dat organisaties die niet direct kunnen updaten, de getroffen systemen offline moeten halen.

CISA stelt dat ‘php2shell’-kwetsbaarheden ongeauthenticeerde externe code-uitvoering mogelijk maken

CISA verklaarde in een waarschuwing op 21 oktober dat de twee kwetsbaarheden, aangeduid als „php2shell”, ongeauthenticeerde externe code-uitvoering in PHP mogelijk maken. Alle PHP-installaties die webverzoeken verwerken, zijn getroffen. CISA noemde combinaties van Apache met mod_php, PHP-FPM, php-cgi, FrankenPHP en LiteSpeed als voorbeelden. Onder deze combinaties is de mod_php-combinatie door de ontwikkelaars van PHP geclassificeerd als het hoogste risico, voegde CISA toe.

De gepatchte versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. CISA verklaarde dat organisaties onmiddellijk naar deze versies moeten updaten. CISA merkte echter op dat het tot het moment van publicatie van de waarschuwing geen succesvolle aanvallen in de praktijk had waargenomen waarbij deze kwetsbaarheden werden misbruikt. Het CISA Cyber-account plaatste dezelfde dag op X de twee kwetsbaarheidsnummers en liet organisaties weten dat zij onmiddellijk moeten patchen.

CISA heeft deze waarschuwing op 23 oktober bijgewerkt. Het agentschap voegde SIGMA-detectieregels toe om verdachte activiteiten te identificeren en verwerkte materiaal van partnerinstanties. De documentatie van partners bevat richtlijnen van het National Cyber Security Centre van het Verenigd Koninkrijk, het Australian Cyber Security Centre onder het Australian Signals Directorate, het National Cyber Security Centre van Nieuw-Zeeland, het Canadian Centre for Cyber Security en het Nationaal Cyber Security Centrum van Nederland.

Op dezelfde dag bracht ook de NSA via een afzonderlijk persbericht een waarschuwing uit.

NSA waarschuwt dat cyberactoren kwetsbaarheden waarschijnlijk zullen bewapenen

In een persbericht op 21 oktober meldde de NSA dat de PHP-ontwikkelaars die dag (woensdag) opensource-patches hadden uitgebracht. De NSA merkte op dat PHP (een afkorting van ‘PHP: Hypertext Preprocessor’) op de meeste grote besturingssystemen draait, rechtstreeks op webservers wordt uitgevoerd en in HTML wordt ingebed om dynamische webpagina’s te creëren. Omdat het zo breed wordt toegepast, aldus de NSA, zou dit beveiligingslek een gunstige omgeving voor misbruik kunnen creëren. De NSA gaf deze verzameling kwetsbaarheden de bijnaam „PHP2Shell” en gaf aan prioriteit te geven aan het identificeren van kwaadwillende cyberactoren die proberen hier misbruik van te maken.

De NSA verklaarde dat een aanvaller zonder voorafgaande toegang of authenticatie controle kan krijgen over getroffen webservers. Langs deze route kan een aanvaller gevoelige gegevens stelen, diensten verstoren of dieper in een netwerk doordringen, voegde de NSA toe. De NSA gaf aan dat het om een fout in PHP zelf gaat en niet in gehoste applicaties of configuraties, waardoor servers die kwetsbare PHP-versies draaien aan aanvallen worden blootgesteld.

De NSA, verantwoordelijk voor de Amerikaanse nationale veiligheid, verklaarde: „Cyberactoren zullen de PHP2Shell-kwetsbaarheden waarschijnlijk bewapenen.” Omdat het risico zo ernstig is, is volgens de dienst onmiddellijke patching noodzakelijk binnen alle ministeries en agentschappen van de Amerikaanse federale overheid. De NSA adviseerde om de komende weken waakzaam te blijven wat betreft aan internet blootgestelde apparaten en diensten die afhankelijk zijn van PHP, logging te verbeteren en end-of-life (EOL) PHP-diensten waarvoor geen compatibele patches beschikbaar zijn te vervangen. Het cybersecurity-account van de NSA plaatste de waarschuwing dezelfde dag eveneens op X.

In dit bericht verklaarde de NSA dat deze kwetsbaarheden vaak een directe route bieden naar het bestandssysteem of de database van de server. De dienst adviseerde systemen offline te halen als een onmiddellijke update niet haalbaar is, en kondigde aan binnenkort met nadere richtlijnen te komen.

De NSA adviseerde updates nauwlettend in de gaten te houden, aangezien ook andere softwareleveranciers patches kunnen uitbrengen zodra deze gereed zijn, en merkte op dat de meest actuele mitigatierichtlijnen te vinden zijn op de beveiligingspagina van de PHP-ontwikkelaars. De NSA verklaarde samen te werken met deskundigen uit de inlichtingengemeenschap en CISA om kwetsbaarheden in overheids- en nationale veiligheidssystemen op te sporen en te verhelpen.

CISA roept op tot volledige inventarisatie van systemen die PHP gebruiken

CISA riep organisaties eerst op om alle systemen binnen hun omgeving te inventariseren waarop PHP draait. Omdat PHP vaak is ingebed in andere software, is het mogelijk niet direct zichtbaar, aldus CISA. CISA drong er vervolgens op aan om als eerste systemen te patchen die aan internet zijn blootgesteld. Organisaties die niet onmiddellijk kunnen updaten of die nog steeds het niet-ondersteunde PHP 8.1 of lager gebruiken, moeten op PHP gebaseerde systemen offline halen totdat de patching of update is voltooid.

CISA riep op om de officiële beveiligingsberichten van de PHP-ontwikkelaars te raadplegen voor patchinstructies. Web Application Firewalls kunnen enige bescherming bieden totdat de systemen zijn bijgewerkt, verklaarde CISA. CISA adviseerde te monitoren op verdachte activiteiten, zoals PHP-werkprocessen die shells starten of hulpprogramma’s downloaden.

De FBI publiceerde op 23 oktober de openbare mededeling I-102326-PSA, volgend op een bericht op sociale media van de FBI op 21 oktober. De FBI verklaarde dat PHP een veelgebruikte programmeertaal is die websites en webapplicaties aandrijft, en dat de twee kwetsbaarheden kwaadwillende cyberactoren in staat kunnen stellen op afstand code uit te voeren in de PHP-kern, waardoor gevoelige gegevens en netwerken gevaar lopen. De FBI Cyber Division plaatste dit bericht op 21 oktober op X.

De FBI meldde dat er al beveiligingsupdates beschikbaar zijn en dat deze direct moeten worden toegepast. Bij het inventariseren van waar PHP aanwezig is, drong de FBI erop aan prioriteit te geven aan systemen die aan het internet zijn blootgesteld en aan producten van leveranciers waarin PHP is gebundeld, en te monitoren of PHP-processen op webservers onverwacht opdrachtshells starten of bestanden downloaden. De FBI gaf aan dat de meest recente informatie te vinden is in de mededelingen van de PHP-ontwikkelaars, het beveiligingsadvies 2026-018 van CERT-EU van de Europese Unie en de Known Exploited Vulnerabilities (KEV)-catalogus van CISA. De FBI riep bedrijven en websitebeheerders op te controleren of hun systemen zijn getroffen. Indien tekenen van inbreuk worden ontdekt, moeten organisaties de getroffen systemen isoleren, logbestanden van de webserver en PHP bewaren en het incident melden bij een lokaal FBI-kantoor of via ic3.gov. De FBI verklaarde dat deze meldingen opsporingsinstanties helpen de verantwoordelijke daders te identificeren en andere organisaties te waarschuwen voordat zij schade oplopen.

Bronnen (KST)

• Amerikaans CISA, „Critical Vulnerabilities in PHP Require Immediate Patching” (gepubliceerd op 21 oktober 2026, bijgewerkt op 23 oktober): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• Amerikaanse National Security Agency (NSA), „NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities” (21 oktober 2026): https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
• Amerikaans Federal Bureau of Investigation (FBI), „Critical Vulnerability Alert: PHP Core” (openbare mededeling I-102326-PSA, 23 oktober 2026): https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
• Bericht op X van CISA Cyber-account: https://x.com/CISACyber/status/2112947079458717969
• Bericht op X van NSA Cybersecurity-account: https://x.com/NSACyber/status/2112903220209098897
• Bericht op X van FBI Cyber Division: https://x.com/FBICyberDiv/status/2112921648252719420