PHP2Shell: welke PHP-update heeft je webshop nodig?

Wat is officieel bevestigd?

PHP noemt 8.2.35, 8.3.36, 8.4.27 en 8.5.12 als gerepareerde releases. Distributies en LTS-leveranciers kunnen de reparaties ook naar hun eigen pakketten terugbrengen. Laat je leverancier daarom de beveiligingsmelding én de geïnstalleerde pakketbuild bevestigen.

CVE-2026-109618 gaat over beschadigde interne toestand na een geheugentekort. CVE-2026-109619 gaat over toestand uit een eerder verzoek die na het vrijgeven van geheugen nog wordt gebruikt. Beide officiële advisories beschrijven mogelijke uitvoering van code op afstand. De details en aanvalspaden verschillen per serveromgeving.

PHP2Shell is de naam die Wiz gebruikt voor het onderzoek en de gecombineerde exploit. Wiz demonstreerde aanvallen op specifieke WordPress-, Drupal- en Joomla-containeropstellingen. Dat is geen bewijs dat iedere installatie van een genoemd platform is overgenomen.

Stuur je host deze vijf vragen

Onze praktische aanbeveling: vraag om een schriftelijke bevestiging voor iedere productieomgeving, inclusief de betaalomgeving, beheeromgeving en eventuele aparte containers. Een antwoord over de PHP-versie in een terminal hoeft niet dezelfde runtime te betreffen als je website.

• Welke PHP-build verwerkt de webverzoeken van mijn domein en de eventuele aparte beheer- of API-omgeving?
• Bevat die build de fixes voor beide CVE’s, en welke leveranciersmelding of pakketversie bewijst dat?
• Zijn alle relevante processen en containers na de update opnieuw gestart, en hoe is dat gecontroleerd?
• Zijn winkelmand, checkout, betaalbevestiging, beheer en achtergrondtaken na de update getest?
• Welke logs en herstelpunten zijn beschikbaar als er aanwijzingen voor misbruik zijn?

Een pluginupdate of WAF is geen patchbewijs

Een CMS en de PHP-runtime zijn verschillende onderdelen. Controleer beide in je onderhoudsoverzicht. De actuele PHP-advisories noemen een update met de reparaties als enige volledige oplossing. Tijdelijke instellingen beperken bepaalde aanvalspaden, maar dekken niet alle varianten.

Zo is het uitschakelen van uploadprogressie geen algemene oplossing voor beide CVE’s. Hetzelfde geldt voor een filterregel, een verborgen versieheader of de aanwezigheid van een proxy. Laat tijdelijke maatregelen door de beheerder aan de officiële adviezen toetsen; kopieer geen losse instellingen zonder de gevolgen voor je shop te beoordelen.

Kun je nog niet patchen, bespreek dan afscherming met je beheerder. CERT-EU adviseerde in de voorafgaande waarschuwing om isolatie van publiek bereikbare toepassingen te overwegen wanneer directe reparatie niet mogelijk is.

Verdachte activiteit vraagt een aparte beoordeling

Een geslaagde update bewijst niet dat de omgeving vóór de update schoon was. Onze aanbeveling bij verdachte bestanden, onbekende beheerders of afwijkende betalingen: bewaar relevante logs, beperk toegang en schakel je beheerder in voor onderzoek. Voer geen willekeurige exploit uit op je productiewebshop om zekerheid te zoeken.

Een nieuwe site online zetten is ook geen vervanging voor dat onderzoek. Bespreek welke gegevens betrouwbaar zijn en welke toegangen of sleutels moeten worden vervangen voordat je gegevens naar een andere omgeving brengt.

Wanneer is overstappen zinvol?

Terugkerende updateproblemen, verouderde uitbreidingen of onduidelijke verantwoordelijkheid kunnen aanleiding zijn om je webshop opnieuw in te richten. Beoordeel dat na de acute maatregel op functies, beheer, onderhoud en totale kosten. Een andere programmeertaal geeft geen algemene veiligheidsgarantie.

TovieIT kan een maatwerkherbouw met React en Node.js en bijbehorende hosting bespreken. Daarvoor zijn eerst een functie-inventaris, gegevensafspraken, betaal- en voorraadtests, URL-mapping en een terugvalplan nodig. Een complete WooCommerce-, Magento- of Shopware-webshop omzetten is geen universele éénklikactie.

Gebruik de overstapintake om je huidige platform, koppelingen en belangrijkste knelpunten te beschrijven. Deel daarin geen wachtwoorden, geheime sleutels of klantbestanden. Zo kan het eerste gesprek over de juiste scope gaan.