Draait jouw site op een kwetsbare PHP-versie?
Vul je website in. We lezen de PHP-versie en vergelijken die met de versies die PHP2Shell raakt.
Serge Huijsen
Oprichter, developer
Wat is PHP2Shell?
PHP2Shell is de naam voor twee kritieke lekken in PHP zelf, CVE-2026-109618 en CVE-2026-109619, allebei met de hoogste urgentie (CVSS 9.2). Ze maken remote code execution mogelijk: in het ergste geval voert iemand van buitenaf eigen code uit op je server. Het lek zit in de verwerking van formulieren en uploads (multipart), iets wat PHP doet voordat je website of plugin draait. Een securityplugin, Laravel of WordPress houdt het dus niet tegen.
Welke PHP-versies zijn kwetsbaar?
PHP bracht op 21 oktober 2026 de fix uit. Je bent veilig vanaf deze versies; draai je iets lager, dan is je site kwetsbaar:
- PHP 8.5 Veilig vanaf 8.5.12
- PHP 8.4 Veilig vanaf 8.4.27
- PHP 8.3 Veilig vanaf 8.3.36
- PHP 8.2 Veilig vanaf 8.2.35
- PHP 8.1 en ouder Geen officiële fix
Wat moet je doen?
- Stel vast welke PHP-versie je draait (hierboven kun je het laten controleren).
- Werk PHP bij naar de gepatchte versie en herstart PHP-FPM, queue workers en wat er verder op draait.
- Draai je PHP 8.1 of ouder, upgrade dan naar een ondersteunde versie of scherm de site af achter een reverse proxy of IP-allowlist.
- Controleer na het bijwerken of er niets verdachts is binnengekomen.
Veelgestelde vragen over PHP2Shell
Is mijn website kwetsbaar voor PHP2Shell?
Dat hangt af van je PHP-versie. Draai je een versie onder 8.2.35, 8.3.36, 8.4.27 of 8.5.12, of PHP 8.1 of ouder, dan is je site kwetsbaar. Vul hierboven je website in, dan lezen we de versie uit en vergelijken we die met de getroffen reeks.
Welke PHP-versie heb ik nodig om veilig te zijn?
Minimaal PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12, afhankelijk van je tak. PHP 8.1 en ouder krijgen geen officiële fix meer; daarvoor is een upgrade of afscherming nodig.
Wat zijn CVE-2026-109618 en CVE-2026-109619?
Het zijn de twee kritieke lekken achter de naam PHP2Shell. Beide maken remote code execution mogelijk via de manier waarop PHP multipart-formulieren en uploads verwerkt. Ze scoren 9.2 op 10.
Beschermt mijn WordPress- of Laravel-securityplugin me?
Nee. Het lek zit in PHP zelf, in de runtime, en wordt geraakt voordat je website of plugin draait. De enige echte oplossing is PHP bijwerken of de site afschermen.
Ik draai PHP 8.1 of ouder. Wat nu?
Voor PHP 8.1 en ouder komt geen officiële update. Je kunt upgraden naar een ondersteunde versie, of de site tijdelijk afschermen met een reverse proxy, een multipart-filter of een IP-allowlist. Wij helpen daar graag bij.
Kan CodeIQ dit voor mij oppakken?
Ja. We stellen je versie vast, werken bij of schermen af, controleren of er iets is binnengekomen, en nemen desgewenst het beheer en de hosting over. Bel 010 318 0515 of plan een gesprek.