PHP-BEVEILIGINGSUPDATE
PHP2Shell oplossen en PHP upgraden
Twee kritieke PHP-beveiligingslekken, CVE-2026-109618 en CVE-2026-109619, maken het uitvoeren van code op afstand mogelijk op vrijwel elke PHP-website. Alleen een update naar een gepatchte PHP-release is een volledige oplossing. SA Web Studio controleert je versie, voert de update of upgrade uit en zorgt dat je site daarna blijft werken.
Wat het PHP-beveiligingsteam op 21 oktober 2026 publiceerde
- Gepatchte releases: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Elke eerdere versie tot en met PHP 5.4 is kwetsbaar.
- Getroffen: alle installaties die webverzoeken afhandelen, waaronder PHP-FPM, Apache mod_php, php-cgi, FrankenPHP en LiteSpeed. Apache mod_php loopt het grootste risico.
- PHP 8.1 en ouder krijgen geen officiële release. Sites op PHP 7.4, 8.0 of 8.1 hebben een upgrade naar een ondersteunde reeks nodig, tenzij de hostingleverancier een fix terugporteert.
- Workarounds zoals session.upload_progress.enabled=0 verkleinen de blootstelling, maar maken een installatie niet veilig.
Informatie gecontroleerd op 22 oktober 2026 aan de hand van het officiële advies.Lees het beveiligingsadvies op php.net
Wat we controleren en oplossen
- PHP-versiecontrole van elke website, server en hostingaccount die je gebruikt
- Update naar de gepatchte release, of een upgrade van end-of-life PHP 7.4, 8.0 of 8.1 naar PHP 8.2 of nieuwer
- Compatibiliteitscontrole en fixes voor WordPress-plugins en -thema’s, Laravel- en Composer-packages of maatwerk PHP-code
- Tijdelijke verharding als de update moet wachten: session upload progress uit, geheugen- en verzoeklimieten, firewallregels
- Herstart van workers, versieverificatie en een rooktest van de belangrijkste pagina’s en formulieren na de wijziging
- Een korte schriftelijke samenvatting van wat er is veranderd en waar je op moet letten
Zo werkt het
Deel je opzet
Vertel welk platform je gebruikt, waar het wordt gehost en, als je het weet, de huidige PHP-versie. Toegang tot de hosting regelen we veilig.
Beoordelen en plannen
We bevestigen de versie, bekijken waar de update of upgrade invloed op heeft en spreken een onderhoudsmoment met je af.
Bijwerken en controleren
We voeren de gepatchte release of upgrade uit, herstarten de workers, testen de site en sturen je een samenvatting.
EEN PAAR DINGEN, BEANTWOORD
Goede vragen.
Duidelijke antwoorden.
Van de eerste briefing tot de volgende stappen. Dit is wat je misschien wilt weten.
Stuur een korte notitie en we komen bij je terug met duidelijke volgende stappen.
01Is mijn website kwetsbaar voor het PHP2Shell-beveiligingslek?
Als je website op PHP draait en de versie ouder is dan 8.2.35, 8.3.36, 8.4.27 of 8.5.12, is hij kwetsbaar voor dit beveiligingslek. Dat geldt voor WordPress, Laravel, Symfony, Magento, Drupal en maatwerk PHP-sites op PHP-FPM, Apache mod_php, php-cgi, FrankenPHP of LiteSpeed. Deel je hostinggegevens en we bevestigen de versie voor je.
02Welke PHP-versie lost CVE-2026-109618 en CVE-2026-109619 op?
PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12, uitgebracht op 21 oktober 2026. Elke eerdere release in die reeksen is kwetsbaar. PHP 8.1 en ouder krijgen geen updates meer van het PHP-project en hebben dus een upgrade naar een ondersteunde reeks nodig in plaats van een patch.
03Mijn hosting draait nog PHP 7.4 of 8.1. Wat nu?
Die reeksen zijn end of life en krijgen geen officiële fix. Sommige Linux-distributies en hostingproviders leveren een eigen teruggeporteerde fix; we controleren of dat bij jou het geval is. Zo niet, dan is een geplande upgrade naar PHP 8.2 of nieuwer de praktische route, met vooraf een compatibiliteitscontrole van plugins, packages en maatwerkcode.
04Kunnen jullie PHP bijwerken zonder mijn WordPress- of Laravel-site te breken?
De update zelf is klein, maar een upgrade over grote versies heen kan verouderde plugins, thema’s of packages blootleggen. We beoordelen de site vóór de wijziging, voeren die waar mogelijk uit op een staging- of onderhoudsmoment, testen daarna de belangrijkste pagina’s en formulieren en lossen op wat de nieuwe versie aanwijst.
05Is een firewallregel of de php.ini-workaround genoeg?
Nee. PHP stelt dat alleen een update een volledige oplossing is. session.upload_progress.enabled op 0 zetten, een onbeperkte memory_limit en een web application firewall verkleinen de blootstelling aan bekende aanvalspaden, en we kunnen ze als tijdelijke maatregel toepassen, maar de gepatchte PHP-release moet zo snel mogelijk volgen.
ZET JE VOLGENDE STAP
Klaar om je bedrijf
vooruit te helpen?
Vertel ons waar je naartoe wilt. We helpen je de website, applicatie of integratie vorm te geven om te beginnen.
Laten we het over je project hebben