21 oktober 2026
PHP2Shell: wat je moet weten over de gelekte PHP-kwetsbaarheden
Wat zegt het NCSC?
Op 21 oktober 2026 publiceerde het National Cyber Security Centre (NCSC) een waarschuwing waarin organisaties worden opgeroepen zich voor te bereiden op het direct updaten van systemen die PHP gebruiken. Het advies is duidelijk: kun je een getroffen systeem niet meteen beveiligen, overweeg dan om het tijdelijk offline te halen totdat dit wel mogelijk is.
De waarschuwing volgt op een aankondiging van het PHP-project van 20 oktober. Daarin werd een beveiligingsrelease aangekondigd voor twee kritieke kwetsbaarheden in PHP. Het NCSC vermeldt dat de release gepland staat voor woensdag 21 oktober 2026 om 16.00 uur Nederlandse tijd en mogelijk eerder kan verschijnen.
Op het moment van schrijven zijn de getroffen en gepatchte versies en de CVE-nummers nog niet gepubliceerd. Controleer daarom de PHP project announcement en de NCSC alert voor de meest actuele informatie. We werken dit artikel bij zodra er meer details bekend zijn.
Waar kan PHP binnen je organisatie draaien?
WordPress, Drupal en Magento zijn gebouwd met PHP. Dat geldt ook voor veel klantportalen en boekingssystemen. Daarnaast kunnen hostingcontrolpanels, netwerkapparatuur en webinterfaces van leveranciers hun eigen PHP-installatie bevatten, zelfs wanneer dit niet duidelijk in de productdocumentatie staat.
Daarom adviseert het NCSC niet alleen om je eigen systemen te patchen, maar ook om beveiligingsupdates van externe softwareleveranciers actief te volgen.
Als PHP onderdeel is van een appliance of ander product van een leverancier, ben je voor de update bovendien afhankelijk van die leverancier.
Wat kun je doen vóórdat de beveiligingsupdate beschikbaar is?
Zodra een beveiligingsupdate wordt gepubliceerd, kunnen aanvallers de nieuwe versie met de vorige vergelijken om kwetsbaarheden te achterhalen. Vooral systemen die rechtstreeks vanaf internet bereikbaar zijn verdienen daarom prioriteit.
Het NCSC geeft vijf aanbevelingen. Zo zouden wij die toepassen:
- Breng alle PHP-systemen in kaart
Begin bij alles wat vanaf internet bereikbaar is: openbare websites, microsites, campagnepagina's, klantportalen, API's en gateways voor externe toegang. Kijk daarna verder binnen de organisatie. Vergeet staging- en ontwikkelomgevingen, oudere websites en containers met een ingebouwde PHP-runtime niet. - Leg de versie en eigenaar vast
Noteer per systeem welke PHP-versie draait, hoe PHP is geïnstalleerd en wie verantwoordelijk is voor updates. Denk aan een OS-package, containerimage, controlpanel of appliance van een leverancier. Zo weet je direct waar de verantwoordelijkheid voor een update ligt. - Controleer op end-of-lifeversies
Controleer oudere PHP-versies extra zorgvuldig. Kijk ook naar de ondersteuning vanuit je Linux-distributie of andere leverancier en plan waar nodig een upgrade. - Bepaal vooraf welke systemen offline kunnen
Het NCSC noemt het tijdelijk offline halen van een systeem expliciet als optie wanneer onmiddellijke beveiliging niet haalbaar is.
Bepaal daarom vooraf welke systemen je kunt uitschakelen, wie daar toestemming voor kan geven en hoe je hierover met klanten communiceert. - Monitor je internet-facing systemen
Zorg dat logs van PHP-webservers terechtkomen bij het team dat je omgeving bewaakt en dat dit team op de hoogte is van de actuele waarschuwing. Monitoring van internet-facing PHP-systemen is ook een expliciete aanbeveling van het NCSC
Wat doe je zodra de update beschikbaar is?
- Lees het beveiligingsadvies en bepaal welke systemen geraakt worden.
- Patch eerst systemen die vanaf internet bereikbaar zijn en daarna interne systemen.
- Herstart PHP-services na de update. Alleen het package bijwerken betekent niet noodzakelijk dat een oud proces direct uit het geheugen verdwenen is.
- Blijf leveranciers en hostingproviders volgen voor updates van producten waarin PHP is ingebouwd.
- Scan daarna opnieuw om vast te stellen dat daadwerkelijk de gepatchte versie actief is en dat er geen systemen zijn gemist.
Hoe Claranet kan helpen
Uiteindelijk draait een groot deel van het advies van het NCSC om twee vragen:
Weet je waar PHP binnen je IT-omgeving draait? En merk je het wanneer iemand een kwetsbaarheid probeert te misbruiken?
Dat zijn precies de gebieden waarop Claranet organisaties ondersteunt.
1. In kaart brengen wat je hebt
Met External Attack Surface Monitoring (EASM) brengt Claranet internet-facing assets zoals websites, subdomeinen, cloudservices, API's en infrastructuur in kaart, ook wanneer die niet meer goed binnen de organisatie bekend zijn. De dienst combineert continue discovery met maandelijks door analisten beoordeelde rapportages.
Daarmee biedt EASM een praktisch vertrekpunt voor de eerste aanbeveling van het NCSC: weten welke PHP-systemen aan de buitenwereld zijn blootgesteld.
2. Testen en opnieuw testen
Continuous Security Testing van Claranet combineert 24/7 geautomatiseerde scanning met gerichte handmatige penetratietests. Beveiligingsspecialisten helpen daarbij kwetsbaarheden te prioriteren en hertesten applicaties om vast te stellen of herstelmaatregelen effectief zijn.
Zodra controles voor de nieuwe PHP-kwetsbaarheden beschikbaar zijn, kan dit helpen om kwetsbare systemen te identificeren en vervolgens te controleren of herstelmaatregelen effectief zijn.
Voor applicaties die extra aandacht nodig hebben, biedt Claranet daarnaast CREST Penetration Testing Services, waarbij geautomatiseerde vulnerability assessments worden gecombineerd met handmatige beveiligingstests.
3. Aanvallen detecteren
Het NCSC adviseert organisaties internet-facing PHP-systemen actief te monitoren op kwaadaardige activiteit.
Met Managed Detection & Response (MDR) biedt Claranet een CREST-geaccrediteerd SOC met 24/7-dekking, gebaseerd op Microsoft Sentinel of SentinelOne. Securityanalisten onderzoeken relevante incidenten en ondersteunen bij de respons
Dat is vooral belangrijk in de periode waarin een beveiligingsupdate al beschikbaar is, maar nog niet ieder systeem is bijgewerkt.
4. Blootstelling beperken tijdens het patchen
Een web application firewall vervangt een beveiligingsupdate niet, maar kan wel een extra beschermingslaag vormen terwijl systemen worden bijgewerkt.
DDoS Protection & Web Acceleration van Claranet beschermt webapplicaties tegen onder andere DoS-aanvallen en biedt proactieve 24/7-monitoring.
Voor softwareleveranciers biedt Claranet daarnaast 24/7 Managed WAF, DDoS & API Protection for ISVs, met onder meer WAF-, DDoS-, bot- en API-bescherming en 24/7-monitoring en tuning.
5. Je platform up-to-date houden
Draaien je websites en applicaties op infrastructuur die Claranet beheert via Managed Public Cloud Services of Managed Private Cloud? Neem dan contact op met je serviceteam om te bepalen wat de PHP-update voor jouw specifieke omgeving betekent.
De publieke-clouddienst omvat onder meer beheer van besturingssystemen, patching, monitoring, back-up en disaster recovery voor AWS- en Microsoft Azure-omgevingen.
Verder kijken dan deze waarschuwing
Kritieke kwetsbaarheden in veelgebruikte technologie zullen blijven opduiken. Organisaties die hier snel op kunnen reageren weten welke technologie ze gebruiken, wie verantwoordelijk is en hoe snel wijzigingen kunnen worden doorgevoerd.
Heeft deze waarschuwing zwakke plekken in dat proces zichtbaar gemaakt? Dan is dit het moment om die aan te pakken.
Wil je weten waar PHP binnen jouw IT-omgeving draait, of hoe snel jouw organisatie op een volgende kritieke kwetsbaarheid kan reageren? Neem contact op met Claranet of bekijk onze Cybersecurity oplossingen.