PHP2Shell: twee kritieke PHP-lekken, wat betekent dit voor je WordPress-site?

Op 21 oktober 2026 heeft het PHP-project een beveiligingsrelease uitgebracht die twee kritieke kwetsbaarheden verhelpt. Het gaat om CVE-2026-109618 en CVE-2026-109619, samen ook bekend onder de naam PHP2Shell. Allebei krijgen ze een score van 9.2 op de schaal CVSS v4.0, en volgens de berichtgeving kan een aanvaller er zonder in te loggen code mee uitvoeren op de server (remote code execution). Draait je website op PHP, en dat doen WordPress-sites en de meeste webshops, dan is dit nieuws dat je hoster of beheerder nu moet oppakken.

Wat is er aan de hand?

PHP is de programmeertaal waarop WordPress en WooCommerce draaien. De twee lekken zitten niet in WordPress of in een plugin, maar in PHP zelf. Volgens Laravel Forge en AlmaLinux gaat het om dit:

• CVE-2026-109618 wordt omschreven als code-uitvoering via beschadigd geheugen bij een tekort aan werkgeheugen (OOM corruption). Als PHP halverwege het opstarten wordt onderbroken, kan het opruimen aan het einde van het verzoek ongeldige gegevens voor geldig aanzien.
• CVE-2026-109619 gaat over code-uitvoering via achtergebleven globale gegevens (stale global state). Gegevens van een verzoek kunnen blijven bestaan terwijl het bijbehorende geheugen al is vrijgegeven, waarna een later verzoek op dezelfde worker ze kan gebruiken.

AlmaLinux meldt dat PHP-FPM op elke AlmaLinux-versie de standaard is en dat PHP code-uitvoering via PHP-FPM heeft bevestigd voor CVE-2026-109619. PHP-FPM is een veelgebruikte manier om PHP op webservers te draaien, dus de kans is groot dat ook jouw hosting hierop leunt.

Welke PHP-versies zijn veilig?

De fixes zitten in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, zo melden onder meer Rescana en Help Net Security. Voor PHP 8.1 en ouder komt er volgens de berichtgeving geen officiële release. Sommige bronnen noemen wel dat er via distributies backports bestaan voor oudere takken, maar dat verschilt per leverancier en is iets om bij je hoster na te vragen.

Linuxdistributies en leveranciers met langdurige ondersteuning kregen de patches vooraf, zodat pakketten vaak snel beschikbaar zijn. Bij de meeste klanten van een hostingbedrijf gebeurt de update dus op serverniveau, niet in je eigen WordPress-dashboard.

Wordt het al misbruikt?

Hierover lopen de berichten uiteen. Een deel van de bronnen meldt dat beveiligingsbedrijven aanvalspogingen zien. Volgens een ander bericht, waarin SecurityWeek wordt aangehaald, heeft watchTowr geen geslaagde pogingen waargenomen. De Amerikaanse cyberbeveiligingsdienst CISA dringt er volgens de berichtgeving op aan om beide lekken direct te patchen. Wacht dus niet af tot er zekerheid is over misbruik. Bij lekken waarbij code op afstand kan worden uitgevoerd, begint het misbruik vaak snel nadat de details bekend zijn.

Is er een WordPress-update nodig?

Nee. Volgens Codeable bevestigt WordPress.org dat er geen WordPress-update nodig of gepland is. De oplossing zit volledig in de PHP-update. Lees ook de officiële bronnen na, zoals het nieuws op WordPress.org, als je de details wilt controleren.

Wat kun je zelf doen?

1. Kijk welke PHP-versie je gebruikt. In WordPress ga je naar Extra, dan Websitegezondheid en het tabblad Info. Onder Server staat de PHP-versie. Ook je hostingpaneel toont dit.
2. Vraag je hoster of de patch is geïnstalleerd. Stel de vraag concreet: draait mijn account op PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35, of op een gepatchte pakketversie van mijn leverancier?
3. Draai je op PHP 8.1 of ouder? Plan dan een upgrade naar een ondersteunde versie. Test die eerst op een staging-omgeving, want oudere plugins en thema's kunnen haperen op een nieuwere PHP-versie.
4. Maak een back-up voordat er iets wordt gewijzigd, en houd WordPress, thema's en plugins bijgewerkt.

Wat betekent dit voor jou als ondernemer?

Een lek in PHP raakt je hele website, ook als je plugins allemaal up-to-date zijn. Een aanvaller die code op je server kan uitvoeren, kan klantgegevens inzien, je site misbruiken voor phishing of je webshop platleggen. Dat is dus geen zaak voor later. Kies je hosting bovendien met het oog op snelle beveiligingsupdates, daar lees je meer over op onze pagina over hosting.

Wij nemen dit soort werk uit handen via website-onderhoud en beheer: we controleren de PHP-versie, testen updates vooraf en zorgen dat je site bijgewerkt blijft. Eerder schreven we over WordPress 7.1.3 met zeven beveiligingslekken en het actief misbruikte Bricksforge-lek. Meer actueel nieuws vind je op onze nieuwspagina. Wil je weten of jouw site veilig draait? Neem contact met ons op.

Bronnen: Help Net Security, AlmaLinux, Laravel Forge, Codeable, Rescana, watchTowr, WordPress.org.