PHP2Shell: het lek dat Nederland even offline zette

Maikel Hulst
Gespecialiseerd in Microsoft 365, cloudoplossingen en de digitale werkplek.
3 minuten
26 oktober 2026
Op woensdag 21 oktober 2026 gebeurde er iets wat nagenoeg nooit voorkomt: DigiD, MijnOverheid, de website van de Tweede Kamer, de Belastingdienst en tientallen andere Nederlandse websites gingen tijdelijk offline. De oorzaak was een ernstig lek in PHP. PHP is de software waarop een groot deel van het internet draait. waarom werdt het zo serieus genomen en was het zo groot in de media, en wat hebben wij bij Grey Dog IT voor onze klanten hebben gedaan.

Wat is PHP eigenlijk

Allereerst een klein stuk achtergrondverhaal wat PHP nou eigenlijk is.
PHP is een programmeertaal die op de server draait en ervoor zorgt dat pagina’s worden opgebouwd, formulieren worden verwerkt en gegevens uit databases worden opgehaald.
 
Veel bekende applicaties zijn hierop gebouwd die een website van een content management systeem voorzien. Denk hierbij aan Wordpress, Drupal, Joomla of Magento.
Juist omdat PHP zo’n ingebakken onderdeel is raakt een lek in PHP zelf niet één website of één plugin die je toevalig heb geinstalleerd maar alles wat er op staat.

Wat was er mis?

Het lek kreeg de bijnaam PHP2Shell en bestaat eigenlijk uit twee verschillende kwetsbaarheden die geregistreerd onder hun eigen CVE. Beide CVE’s kregen een risk score van 9,2 op een schaal van 10 (“kritiek”).
 
 
CVE-2026-109618 zit in de manier waarop PHP omgaat met een tekort aan werkgeheugen. Als een verzoek aan de server op precies het verkeerde moment tegen de geheugenlimiet aanliep, kon PHP half-afgemaakte interne gegevens achterlaten en die later als geldig behandelen. Een aanvaller kon dat moment bewust uitlokken.
 
 
CVE-2026-109619 zit in de foutafhandeling. Na een bepaald soort fout kon PHP blijven wijzen naar geheugen dat eigenlijk al bij een vorig verzoek hoorde en was vrijgegeven. Een volgend verzoek kon dan met die “oude” gegevens aan de haal gaan.
 
Het eindresultaat was hetzelfde: een aanvaller kon zonder in te loggen en zonder wachtwoord eigen code laten uitvoeren op de server wat ook wel “Remote Code Exection” wordt genoemd.
 

Waarom ging het zo snel mis?

Twee dagen voor de geplande publicatie lekten de CVE-nummers uit op online forums. was een een onjuiste score van 10,0 opgegeven en dankzij deze vergissing vervroegde PHP de update naar 21 oktober om 16:00 uur.
 
Dit zorgde voor een gevaarlijk moement. Kwaadwillende wisten dat er iets ernstigs aan de hand was, en beheerders hadden nog geen update om te installeren.

Welke stappen heeft Grey Dog IT uitgevoerd?

Signaleren
Inventariseren
Risico beperken vóór de patch
Patchen en controleren
Nazorg
Communiceren
Signaleren
Beveiligingswaarschuwingen volgen is bij ons geen bijzaak maar vast onderdeel van het werk. De vooraankondiging van PHP op de avond van 20 oktober en de berichten die daarop volgden kwamen dus niet als verrassing.
 
Inventariseren
De eerste vraag bij elk lek is simpel. waar draait dit bij ons en bij onze klanten? We hebben in kaart gebracht welke beheerde websites, webapplicaties en interne systemen op PHP draaien, welke versie ze gebruiken en hoe ze vanaf internet bereikbaar zijn.
 
Risico beperken vóór de patch
Het gevaarlijkste moment was de ochtend van 21 oktober. Het lek was bekend en media stond er vol mee. Het probleem dat er nog geen update was.
 
Patchen en controleren
Zodra de officiële update beschikbaar was, hebben we die uitgerold op alle systemen waarvoor we verantwoordelijk zijn. Daarnaast het allerbelangrijkste niet vergeten. Checken of de nieuwe versie ook daadwerkelijk draait.
 
Nazorg
Er was een kleine periode dat het lek bekend was en er nog geen update was. daarom hebben nogmaals gekekken of er verzoeken zijn binnengekomen die niet kloppen.
  
Communiceren
Klanten die het aangaat zijn geïnformeerd over wat er speelde en wat wij hebben gedaan, zonder dat zij daar zelf actie voor hoefden te ondernemen.

Tot slot

PHP2Shell was geen fout van een websitebouwer of beheerder en geen fout van een plugin. Het was namelijk een probleem in software die bijna iedereen gebruikt voor websites. 
Maikel Hulst
Gespecialiseerd in Microsoft 365, cloudoplossingen en de digitale werkplek.

Maikel richt zich voornamelijk op moderne werkplekoplossingen en Microsoft 365. Hij helpt organisaties bij het optimaal inzetten van cloudtechnologie, samenwerkingstools en het verbeteren van de digitale werkplek.

Onze klanten beoordelen ons met een 5/5
Klanten beoordelen ons met een 5/5