Vanavond kijken we naar een nieuwsfeit dat geen aandeel is maar vandaag wel het halve internet bezighield: een kritiek lek in PHP, de programmeertaal waar een groot deel van alle websites op draait. De schattingen in de bronnen lopen uiteen, van 69% tot 80% van het web. Wall Street is nog open, dus over koersen zeggen we vanavond niets, wel over wat er vandaag is gebeurd.
Wat er is gebeurd
Het gaat om 2 kwetsbaarheden die samen PHP2Shell heten, CVE-2026-109618 en CVE-2026-109619. Volgens The Hacker News krijgen ze allebei een 9,2 op de CVSS v4.0 schaal, en kan een aanvaller er zonder in te loggen eigen code mee laten draaien op de server. Onderzoekers van Wiz Research, Calif en het Codex Security team van OpenAI vonden de gaten. Een lek had dinsdag al gemeld dat de openbaarmaking pas donderdag zou komen, waarna PHP dinsdagavond een waarschuwing uitdeed en de release naar voren haalde.
De patches kwamen woensdag rond 16:00 uur onze tijd: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens BleepingComputer zijn alle installaties die webverzoeken afhandelen kwetsbaar, met mod_php als grootste risico. PHP 8.1 en ouder krijgen geen officiële update meer. Voor 7.4, 8.0 en 8.1 bestaan wel losse backports voor wie zelf bouwt.
Eerst offline, dan patchen
Het opvallende van deze middag was de voorzorg. Volgens NOS gingen MijnOverheid en DigiD uit de lucht, samen met de website van de Tweede Kamer, Tweakers, de sites van het NCSC en de Autoriteit Persoonsgegevens, het vergadersysteem Notubiz en de systemen van het ANP. Bij DPG Media konden abonnees tijdelijk hun krant niet beheren. De organisaties haalden hun sites zelf offline, het NCSC zegt tot nu toe geen misbruik te hebben gezien. Wel geldt voor het NCSC elk systeem met PHP aan het internet als kwetsbaar tot het is bijgewerkt.
In België ging het volgens VRT nog breder, met onder meer ziekenhuizen, Vlaamse overheidssites en Infrabel. Ook daar meldt het Centrum voor Cybersecurity tot nu toe geen aanvallen.
Het beeld over echt misbruik blijft gemengd. Cloudflare-CTO Dane Knecht zegt volgens The Hacker News dat de eerste aanvallen opkomen, en Cloudflare zette tijdelijke firewallregels in. Beveiligingsbedrijf watchTowr zag om 11:26 UTC nog geen misbruik in het wild, en geen van beide gaten stond toen in de lijst van bekende misbruikte kwetsbaarheden van CISA. Of er al iemand daadwerkelijk is binnengekomen, meldt geen enkele bron.
Wat dit voor de markt betekent
In de bronnen die we lazen staat geen koersreactie en geen financiële schade genoemd, dus daar zoeken we vanavond ook niets achter. Of dit morgen ergens in een rapport of een koers terugkomt, moeten we afwachten. Draait u zelf een website op PHP, vraag dan vandaag nog aan uw hoster of de fix voor deze CVE erin zit, want bij Linux distributies zegt het versienummer niet alles en is het changelog leidend.
Wij zien de komende dagen vooral 1 vraag: hoeveel van de offline gehaalde sites komen weer terug.