PHP-lek 'PHP2Shell': achter de schermen bij Obaia

PHP is de programmeertaal waar een groot deel van het internet op draait, ook veel Craft CMS-websites. Vaak zitten beveiligingslekken in iets dat bovenop PHP is gebouwd, zoals een plugin of een thema. Dit keer zat het probleem in PHP zelf, en dat maakte het een heel stuk ernstiger. Het ging om twee kwetsbaarheden, samen PHP2Shell genoemd (CVE-2026-109618 en CVE-2026-109619). Het PHP-beveiligingsteam gaf ze een score van 9,2 op een schaal van 10. De kwetsbaarheden gaan terug tot PHP 5.4, uit 2012, en vrijwel elke server met PHP was dus in beeld.

De bekendmaking was gepland voor 22 oktober, maar er lekte vroegtijdig informatie uit. Het PHP-team haalde de reparatie daarom naar voren en kondigde die aan voor woensdag 21 oktober om 16:00 uur. Iedereen wist dus dat er een gat zat, maar de definitieve oplossing was er nog niet.

Wat kon de exploit eigenlijk?

De naam zegt het al: van een gewone PHP-website naar een “shell”, een opdrachtvenster waarmee een aanvaller de server kan besturen. Vakmensen noemen dat remote code execution. Een aanvaller kan op afstand eigen opdrachten laten uitvoeren op jouw server, mogelijk zonder eerst in te loggen.

Hoe dat technisch werkt, leggen we in gewone taal uit. De eerste kwetsbaarheid zit in een functie van PHP die de voortgang van een bestandsupload bijhoudt, en die standaard aanstaat. PHP onthoudt daarbij op welke plek in het geheugen bepaalde gegevens staan. Op een gegeven moment ruimt PHP die plek op, maar blijft er wel naar verwijzen. Stel je een bezorger voor die nog naar het oude adres van een verhuisde klant rijdt. Als daar inmiddels een oplichter woont, krijgt die het pakket. Een aanvaller kan precies in die vrijgekomen plek zijn eigen instructies zetten, en PHP voert ze vervolgens uit.

De tweede kwetsbaarheid draait om het moment dat PHP geen geheugen meer heeft en een verzoek abrupt afbreekt. Daarbij wordt het normale opruimen overgeslagen, waardoor er restjes achterblijven waar een aanvaller misbruik van kan maken.

Wat dat kan betekenen voor een organisatie

• Datalek. Gegevens uit databases en formulieren kunnen worden buitgemaakt, met alle gevolgen voor de AVG.
• Overname. Het Nationaal Cyber Security Centrum waarschuwde voor een zeer hoog risico op volledige overname van systemen.
• Sabotage of malware. Een aanvaller kan data wijzigen of verwijderen en schadelijke software plaatsen.
• Stilleggen. In het slechtste geval ligt je website, of een deel van je systemen, er dagenlang uit.

Over actief misbruik liepen de signalen uiteen. Cloudflare meldde eerste aanvallen te zien, terwijl andere partijen nog niets hadden waargenomen. Experts verwachtten wel dat aanvallers kort na het verschijnen van de reparatie massaal zouden toeslaan, omdat ze uit de wijzigingen kunnen afleiden waar het gat precies zit. Dit blijkt nu in de praktijk ook gebeurt te zijn.

Spoedberaad.

Zodra de eerste signalen binnenkwamen, zijn we direct bij elkaar gaan zitten. Geen urenlange vergadering, maar een nuchtere afweging met drie vragen: hoe gevaarlijk is dit écht? Welke schade kan het aanrichten bij onze klanten? Wat kost het ons als we niets doen, en wat als we iets doen?

Die laatste vraag was snel beantwoord. Aan de ene kant stond een paar uur offline: vervelend en zichtbaar, maar volledig herstelbaar. Aan de andere kant stond een scenario van een datalek en systemen die zijn overgenomen. Dat laat zich niet met een druk op de knop terugdraaien. En we wisten met zekerheid dat er die middag om 16:00 uur een reparatie zou komen.

De beslissing: alles uit.

We hebben daar zonder enige twijfel voor gekozen: alles moet uit. Een paar uur offline is een ongemak, een datalek is een ramp. Als managed hosting partij neem je liever het zekere voor het onzekere.

Direct communiceren.

Zodra alles uit stond, hebben we onze klanten direct per e-mail laten weten wat er gebeurde en waarom we die keuze hebben gemaakt. Maar niet alleen via de mail. We zijn ook direct een artikel met liveblog gestart. Zo kon iedereen op één plek volgen wat de stand van zaken was, zonder dat ze hoefden te bellen of af te wachten.

Klotsende oksels? Niet bij ons.

Vanuit meerdere hoeken kregen we berichten. Veel mensen wensten ons sterkte, en ze gingen er  van uit dat wij nu met klotsende oksels achter onze schermen zaten. Maar we hoefden niet in paniek te raken. Het lek was ernstig, dat staat vast, maar we konden rustig blijven. Dat komt niet doordat het meeviel, maar doordat de basis klopt.

Wij houden alles standaard up-to-date, zoals we ook beschrijven in ons artikel over periodiek onderhoud. Het onderhoud van de server, Craft CMS en plugins is bij ons onderdeel van onze managed hosting. Dat betekent dat we niet op een verouderde PHP-versie zaten waarvoor geen reparatie meer verschijnt. Dat is een reëel probleem: het PHP-team ondersteunt alleen nog PHP 8.2 en nieuwer. Volgens metingen draaien er honderdduizenden servers op oudere versies die in principe geen officiële reparatie meer krijgen. Voor die eigenaren is zo’n lek een veel groter probleem dan een paar uur offline.

Doordat onze omgeving up-to-date is, kunnen we een patch snel doorvoeren. We updaten niet in paniek, maar volgens een bekend, beproefd proces.

De patch kwam. En we waren er klaar voor.

Zodra de reparatie beschikbaar was, hebben we hem direct doorgevoerd. Daarna hebben we gecontroleerd of alles weer werkte zoals het hoort, en alles weer online gezet. Onze klanten kregen meteen bericht dat alles weer draait. Ook de liveblog is bijgewerkt, zodat iedereen kon zien dat het achter de rug was.

Dit soort momenten is bij ons aan de orde van de dag. We voeren heel vaak beveiligingsupdates en patches door, ook als jij er niets van merkt.

Groot nieuws, maar dagelijkse praktijk.

Dit lek haalde de landelijke media en dat is terecht, het was echt een groot lek. Toch willen we er één ding bij zeggen: dit soort momenten is bij ons aan de orde van de dag. We voeren heel vaak beveiligingsupdates en patches door, ook als jij er niets van merkt. Meestal gaat dat geruisloos. Een kwetsbaarheid wordt gevonden, een patch verschijnt, wij testen en rollen hem uit. Pas als iets de krantenkoppen haalt, zie je ons werk ineens. Dat dit een uitzondering was in de media-aandacht, maakt het in onze aanpak niet anders.

Wat dit voor jou betekent.

Met een partij die beheer serieus neemt, hoef je bij zulk nieuws niet in paniek te raken. Je weet dat iemand de basis op orde heeft, dat er een plan ligt en dat je als eerste hoort wat er gebeurt, in plaats van als laatste.

Wil je weten hoe wij onderhoud, hosting en beveiliging voor jouw website inrichten? We denken graag vrijblijvend met je mee.