PHP2Shell: miljoenen aanvalspogingen, nog geen bevestigde inbraak
Drie dagen nadat de PHP Foundation patches uitbracht voor de twee lekken die samen PHP2Shell heten, regent het aanvallen. Cloudflare telt inmiddels miljoenen pogingen. Toch heeft nog geen enkele overheid een geslaagde inbraak bevestigd, ook de Nederlandse niet. Dat kan snel veranderen, want onderzoekers hebben de lastigste horde al genomen.
Eerder schreven we hoe AI-modellen hielpen twee kritieke lekken in PHP te vinden. Het gaat om CVE-2026-109618 en CVE-2026-109619, beide met een CVSS-score van 9,2. Ze zitten in de PHP-engine zelf en laten een aanvaller zonder inlog code uitvoeren via een gemanipuleerd HTTP-verzoek. Volgens Wiz werkten de onderzoekers met onder meer Gemini 4 Argon en GPT-5.6 Sol.
Aanvallen begonnen al voor de bekendmaking
The Register meldt dat Amazon op 17 oktober al een aanvalspoging zag op zijn honeypotnetwerk MadPot. Dat was vier dagen voor de patches, terwijl de lekken nog onder embargo stonden. Hoe de aanvaller aan die kennis kwam, weet Amazon niet. Het bedrijf raadt beheerders aan hun logbestanden terug te kijken tot minstens 17 oktober.
Cloudflare-topman Matthew Prince gaf de cijfers. In de tien uur voor de bekendmaking zag Cloudflare duizenden pogingen, in de 45 minuten erna tienduizenden en binnen twee uur honderdduizenden. Nu zijn het er miljoenen. Aanvallers sleutelen aan hun payloads om langs de webfirewall van Cloudflare te komen.
Botnet probeert mee te liften
Volgens The Hacker News proberen criminelen servers via de lekken toe te voegen aan Potassium, een variant van het Mirai-botnet dat DDoS-aanvallen uitvoert. Die pogingen mislukten. SOCRadar vond op een server van een aanvaller tooling voor PHP 8.4.26, maar zag op geen enkele gescande site echte shell-toegang.
Dat het tot nu toe meevalt, heeft een technische reden. Thomas Caspers, vicepresident van het Duitse BSI, noemde misbruik “iets ingewikkelder dan verwacht”, schrijft The Next Web. Matthijs van Amelsfort, hoofd van het Nederlandse cyberagentschap, zei tegen Politico geen aanwijzingen te hebben dat het lek actief wordt misbruikt. Japan meldt hetzelfde.
Dat beeld is wankel. Spencer McIntyre van VulnCheck koppelde beide lekken aan een geheugenlek. Zo omzeilt hij de beveiliging ASLR en voert hij code uit op x86-64-systemen, ook met de aanbevolen productie-instellingen van PHP. Matt Suiche van Tolmo zegt dat zijn team binnen een dag een werkende exploit bouwde.
Ruim 34 miljoen diensten nog kwetsbaar
Censys telde op 23 oktober meer dan 34,4 miljoen PHP-diensten met een kwetsbare versie. Organisaties nemen het zekere voor het onzekere. In Japan zette Mizuho bank- en beleggingsdiensten stil, in Frankrijk haalde Orange een deel van zijn sites en apps tijdelijk offline. De Britse overheid bevestigde dat 32 digitale diensten onbereikbaar waren.
De fixes zitten in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Oudere versies krijgen geen patch. Voor WordPress- en Drupal-sites maakt het CMS niets uit: het lek zit in PHP zelf, dus de server moet worden bijgewerkt.
Wat betekent dit
PHP2Shell laat zien hoe kort de tijd tussen ontdekking en misbruik wordt nu AI helpt bij het zoeken naar fouten. Microsoft waarschuwde eerder al dat aanvallers voorlopen met AI. Verdedigers zetten dezelfde technieken in, zoals Google met Gemini 4 Argon voor beveiligers en Anthropic met een gratis Claude-scan voor open-source code.
Draait je website op PHP, vraag dan vandaag bij je hoster na welke versie er draait. Dat er nog geen bevestigde inbraak is, betekent vooral dat aanvallers nog zoeken naar een betrouwbare route. Met openbaar werk als dat van VulnCheck wordt die zoektocht korter.
