Op 21 oktober 2026 werden twee kritieke PHP-beveiligingslekken bekend, CVE-2026-109618 en CVE-2026-109619, samen PHP2Shell. Zonder in te loggen kon een aanvaller code uitvoeren op een server. Dit is hoe wij die dag onze servers en die van klanten veilig hielden, en wat we doen als jij morgen hulp nodig hebt bij een PHP-patch of PHP-upgrade.
Het lek
Twee kwetsbaarheden in de PHP-kern, door het PHP-project beoordeeld op 9,2 (CVSS 4.0). Beide zijn te misbruiken met een gewoon webverzoek, zonder account. Wie PHP draait, en dat is het overgrote deel van alle websites, moest op 21 oktober in actie komen.
De patchdag
Van de eerste melding 's ochtends tot de laatste herstart 's avonds: wat we deden op onze Plesk- en DirectAdmin-servers, op een omgeving met veertien test-, acceptatie- en productiesites, en wat we onderweg tegenkwamen.
Bekend
21 oktober 2026
Patches beschikbaar
Rond 16.00 uur
Tijdelijk offline
14 sites
Geblokkeerd
Tientallen aanvallers
Hosting en onderhoud betekent ook snel risico's beperken en daarna zorgvuldig controleren of alles weer veilig werkt. Lees meer over onze hosting en infrastructuur en cybersecurity.
PHP-patch of PHP-upgrade nodig?
Ook op servers die wij niet beheren, en ook als je website door een ander bureau is gebouwd. Bel bij een acuut lek direct: 070 - 2212 515.
Welke PHP-versies draaien er, op welke servers en voor welke sites? Zolang er geen patch is, beperken we het risico: functies uitschakelen, verkeer tegenhouden of sites tijdelijk offline met een nette melding. Ondertussen monitoren we realtime op verdachte aanvallen.
Patches installeren, PHP-diensten herstarten en per versie controleren. Draait een site op een end-of-life versie, dan upgraden we PHP en de applicatie gecontroleerd, met een testomgeving en terugdraaioptie.
Iedere site testen voordat hij weer online gaat, logs nalopen op sporen van misbruik en monitoring inrichten die de volgende scan of aanvalspoging direct zichtbaar maakt.
PHP2Shell is de naam voor twee kritieke kwetsbaarheden in PHP, CVE-2026-109618 en CVE-2026-109619, bekendgemaakt op 21 oktober 2026. Ze maken het mogelijk om zonder in te loggen code uit te voeren op een webserver (remote code execution). Het PHP-project beoordeelde beide op 9,2 (CVSS 4.0).
Alle versies vóór PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12 zijn kwetsbaar. PHP 8.1 en ouder zijn end-of-life en krijgen geen officiële patch; sommige Linux-distributies en controlepanelen zoals Plesk leveren wel een backport. Controleer dus niet alleen het versienummer, maar ook of de patch van je leverancier daadwerkelijk is geïnstalleerd.
Nee. Na het installeren moeten de PHP-diensten (PHP-FPM, Apache-modules) herstart worden, anders draait de oude code gewoon door. Daarna hoort een controle per versie en per site, en een check op sporen van misbruik in de uren voordat de patch beschikbaar was.
Die versies zijn end-of-life. Soms is er een backport van je hostingleverancier, maar structureel is een PHP-upgrade de enige oplossing. Wij upgraden PHP en de applicatie gecontroleerd: eerst inventariseren wat er breekt, dan aanpassen, testen op een staging-omgeving en pas daarna naar productie.
Ja. We helpen bij PHP-updates, serverbeheer en het oplossen van kwetsbaarheden op bestaande omgevingen, ook met Plesk of DirectAdmin en ook voor websites die een ander bureau heeft gebouwd. Bel 070 - 2212 515 of mail naar info@acronica.nl.
Met structureel beheer: security-advisories volgen, een vaste updatecyclus, monitoring die aanvalspogingen zichtbaar maakt en een plan voor end-of-life software. Zie onze pagina's over beheer en support en cybersecurity.
Contact
Een kwetsbaarheid oplossen, PHP upgraden of een server controleren na een lek: je kunt ons gerust bellen. We helpen je graag verder.
