Twee kritieke kwetsbaarheden in PHP plaatsen beheerders van Apache- en WordPress-omgevingen voor een urgente patchopgave. De fouten zijn gepubliceerd als CVE-2026-109618 en CVE-2026-109619 en staan in de PHP-advisories met een CVSS 4.0-score van 9,2. Onder de naam PHP2Shell wordt vooral gewezen op scenario’s waarin een aanvaller zonder normale login vooraf code in het serverproces kan laten uitvoeren.
Wat is er aan de hand?
De twee problemen zitten in de PHP-engine, niet in een specifieke WordPress-plugin. De eerste advisory beschrijft een foutpad rond geheugenbeheer wanneer een verzoek voortijdig wordt beëindigd. De tweede gaat over het opnieuw gebruiken van vrijgegeven interne gegevens. In beide gevallen is de impact afhankelijk van de uitvoeringsomgeving en de precieze configuratie; een kwetsbare PHP-versie betekent daarom niet automatisch dat een website is gecompromitteerd.
De advisories noemen Apache met mod_php als belangrijke aanvalssituatie. Apache en PHP zijn daarbij verschillende lagen: Apache verwerkt HTTP-verkeer, terwijl PHP de applicatielogica uitvoert. Veel WordPress-hosting gebruikt in plaats daarvan PHP-FPM. Dat maakt de risicoanalyse anders, maar is geen reden om PHP-FPM zonder controle als veilig te beschouwen. De gebruikte PHP-versie, distributiepatches en procesconfiguratie moeten afzonderlijk worden gecontroleerd.
Welke updates zijn beschikbaar?
De beveiligde upstream-releases die in de advisories worden genoemd zijn PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Oudere PHP-takken vallen buiten de reguliere upstream-ondersteuning. Linux-distributies kunnen patches terugporten zonder het upstream-versienummer gelijk te trekken; controleer daarom het pakketadvies van de leverancier en kijk niet uitsluitend naar de uitvoer van php -v. Die opdracht kan bovendien een andere PHP-installatie tonen dan de versie die de webserver gebruikt.
Voor WordPress-beheerders is de praktische volgorde eenvoudig: identificeer de PHP-runtime die webverzoeken afhandelt, controleer de beveiligingsmelding van de hostingprovider, maak een herstelbare back-up en installeer de passende update. Test daarna inloggen, formulieren, geplande taken en eventuele WooCommerce-processen. Een update repareert de kwetsbaarheid, maar verwijdert geen webshell of andere malware die al eerder is geplaatst.
Waarom dit ook een AI-verhaal is
PHP2Shell valt op omdat de publicatie samenvalt met een bredere verschuiving in beveiligingsonderzoek: AI-agenten worden ingezet om grote codebases te doorzoeken, foutpaden te reconstrueren en onderzoeksteams te helpen bij triage. De oorspronkelijke berichtgeving van AI aan Boord verwijst daarbij naar claims van OpenAI over AI-ondersteund onderzoek en naar onafhankelijk werk van Wiz. Die herkomst moet duidelijk onderscheiden blijven van de technische feiten in de PHP-advisories.
De waarde van AI zit hier niet in automatisch vertrouwen op een modeluitkomst. Een model kan hypotheses en verdachte codepaden aandragen, maar onderzoekers moeten de reproduceerbaarheid, exploitability en impact bevestigen. Voor onderhoudsteams geldt dezelfde regel: AI kan logs samenvatten, versies vergelijken en een patchplan voorbereiden, maar een beheerder moet de wijziging controleren en de productie-uitkomst verifiëren.
Wat moeten organisaties nu controleren?
- Welke PHP-versie verwerkt daadwerkelijk het webverkeer?
- Draait de site via Apache
mod_php, PHP-FPM of een andere SAPI? - Zijn de beveiligde release of een aantoonbare distributiepatch geïnstalleerd?
- Zijn logs, gewijzigde bestanden, onbekende processen en beheerdersaccounts gecontroleerd?
- Kan een schone back-up worden teruggezet als onderzoek daarom vraagt?
Een firewall of CDN kan sommige verzoeken blokkeren, maar vervangt de PHP-update niet. Bij aanwijzingen voor misbruik is alleen patchen onvoldoende: bewaar relevante logs, beperk zo nodig de blootstelling en onderzoek de integriteit van bestanden en accounts.
Bron en technische advisories
Dit nieuwsartikel is gebaseerd op het op 21 oktober 2026 verschenen artikel van AI aan Boord en op de PHP-advisory voor CVE-2026-109618 en de PHP-advisory voor CVE-2026-109619. Raadpleeg daarnaast de beveiligingsmeldingen van uw Linux-distributie of hostingprovider.