Deze website is tijdelijk niet bereikbaar. Als beheerder hebben wij, kb+pm, hem uit voorzorg offline gehaald vanwege twee kritieke PHP-kwetsbaarheden, bekend als PHP2Shell. Zodra de patches beschikbaar en geïnstalleerd zijn, is de website weer online.
De organisatie achter deze website is intussen gewoon bereikbaar via haar eigen socialmediakanalen.
Score op de CVSS v4.0-schaal, die tot 10 loopt. Beide kwetsbaarheden zijn kritiek.
De lekken zitten vermoedelijk al in PHP sinds versie 5.4.0, uitgebracht in maart 2012.
Dan komt het PHP-team met meer informatie en verwacht het de patches uit te brengen.
PHP is de scriptingtaal achter dynamische webpagina's en de basis onder WordPress, Joomla, Drupal, Magento en veel andere software. De ontwikkelaars wilden donderdag patchen, maar informatie over de lekken is afgelopen nacht uitgelekt.
Deze website is niet de enige: ook RTL Nieuws, Mijnoverheid.nl, DigiD en de website van de Tweede Kamer zijn uit voorzorg offline.
Via de twee lekken (CVE-2026-109618 en CVE-2026-109619) kunnen aanvallers eigen pagina's publiceren en zo mogelijk malware verspreiden.
De PHP2Shell-exploit zou het bovendien mogelijk maken om eigen code uit te voeren op kwetsbare servers. Daarom nemen we geen risico.
Tijdelijke maatregelen, zoals PHP-instellingen aanpassen, multipart POST-requests blokkeren, AppArmor of SELinux, of afscherming via Cloudflare of Akamai, bieden mogelijk deels bescherming. Volgens een PHP-kernontwikkelaar beschermt alleen patchen echt.
De patches komen voor PHP 8.2 tot en met 8.5. Daarom wachten we liever even dan dat we half beschermd online gaan.