PHP2Shell: wat er speelt en waarom Rendar de websites online houdt

Bijgewerkt op 21 oktober 2026, na publicatie van de officiële PHP-beveiligingsupdates.

Vandaag halen verschillende organisaties hun website uit voorzorg offline vanwege twee kritieke kwetsbaarheden in PHP, ook bekend onder de naam PHP2Shell. Andere websites blijven bereikbaar. Wat betekent dit voor uw website, en waarom heeft Rendar ervoor gekozen de websites online te houden?

Wat is er aan de hand?

PHP is de software waarop veel websites en webapplicaties draaien, waaronder WordPress. Het PHP-team heeft twee kritieke kwetsbaarheden bevestigd, beide met een ernstscore van 9,2 op een schaal van 10. Hiermee kunnen aanvallers zonder in te loggen op afstand code op een server uitvoeren.

De officiële beveiligingsupdates van PHP zijn inmiddels uitgebracht: PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. De beschikbaarheid van die updates bij PHP betekent nog niet dat de bijgewerkte PHP-versies voor onze hosting al beschikbaar of geïnstalleerd zijn. Hostingpartijen verwerken de reparaties in de versies die zij aanbieden.

Dit probleem zit in een laag onder de website zelf. Alleen WordPress of een plug-in bijwerken is daarom niet voldoende om een kwetsbaarheid in PHP te verhelpen. Daarvoor is ook een passende update van de PHP-omgeving nodig.

Waarom Rendar de websites online houdt

Rendar heeft ervoor gekozen de websites online te houden. Onze hostingprovider Hoasted heeft al vroeg tijdelijke maatregelen getroffen: eigen firewallregels, aanvullende bescherming van Imunify360 en het uitschakelen van een PHP-functie die bij een bekende aanvalsroute betrokken is. Hoasted communiceert hierover via een openbare statuspagina en bereidt de installatie van de definitieve updates voor.

Daarnaast zetten we Cloudflare in als extra beveiligingslaag voor het websiteverkeer. We houden de beveiligingslogs in de gaten om verdachte activiteit snel te herkennen. Firewallregels blokkeren bekende aanvalspatronen en kunnen herhaalde verdachte verzoeken automatisch laten blokkeren, zodat we niet alleen op handmatige controles zijn aangewezen.

Naast de actieve beveiliging beschikken we over goede back-ups, zodat we websites en gegevens zo nodig kunnen herstellen.

Die combinatie van maatregelen vormt de basis voor onze keuze om de websites bereikbaar te houden. Het betekent geen garantie dat alle aanvalsroutes zijn afgedekt. Tijdelijke bescherming blijft een tussenmaatregel; de definitieve reparatie zit in de inmiddels uitgebrachte PHP-beveiligingsupdates.

CloudLinux, leverancier van veelgebruikte hostingsoftware, maakt dat onderscheid ook expliciet in zijn update over tijdelijke bescherming. De beschreven beveiligingsregels richten zich op een bekend aanvalspatroon, maar nemen het bredere probleem niet volledig weg.

De officiële informatie maakt inmiddels duidelijk dat ook veelgebruikte hostingtechnieken zoals PHP-FPM en LiteSpeed binnen de risicogroep vallen. De oorspronkelijke onderzoekers beschrijven werkende aanvallen tegen onder meer WordPress, Nextcloud en Roundcube, inclusief een aanval via PHP-FPM. Eerdere berichten over aanvalspogingen die niet gereproduceerd konden worden, geven daarom geen uitsluitsel over de veiligheid van een hostingomgeving.

Rendar houdt de websites vooralsnog bereikbaar met de getroffen beschermingsmaatregelen en actieve bewaking. Samen met Hoasted zorgen we voor de installatie zodra de bijgewerkte PHP-versies voor onze hosting beschikbaar zijn. We volgen de nieuwe informatie nauwgezet en passen onze aanpak aan wanneer dat nodig is. Alert blijven en gericht handelen staan daarbij voorop.

We volgen de ontwikkelingen op de voet

We zitten hier bovenop. Onze monitoring omvat ruim 30 bronnen, aangevuld met statuspagina’s van tientallen hostingaanbieders. We volgen onder meer het PHP-securityteam, het NCSC, CERT-EU, CloudLinux, Cloudflare en beveiligingsonderzoekers zoals Huntress en Patchstack. Daarbij letten we vooral op nieuwe aanvalsroutes, de beschikbaarheid van officiële updates en berichten van onze hostingprovider.

Dat helpt ons om nieuwe informatie snel mee te nemen in onze afweging. Een door PHP uitgebrachte update is daarbij iets anders dan een update die daadwerkelijk op onze hostingomgeving is geïnstalleerd.

HostHub blijft ook bereikbaar

Ook HostHub, ons eigen product om hosting te beheren, blijft online. De HostHub-applicatie draait niet op PHP en wordt daardoor niet rechtstreeks geraakt door deze PHP-kwetsbaarheden.

Waarom kiezen andere organisaties voor offline gaan?

Preventief offline gaan beperkt de bereikbaarheid voor aanvallers, maar raakt ook de bezoekers die een website willen gebruiken. Een formulier kan bijvoorbeeld niet bereikbaar zijn of een bestelling kan niet worden afgerond. Welke afweging passend is, hangt af van de betreffende omgeving, de beschikbare maatregelen en de gevolgen van mogelijk misbruik.

Zo meldde Mijndomein op 21 oktober om 14:30 uur dat klantwebsites op de getroffen hostingdiensten preventief offline waren gehaald, in afwachting van de PHP- en Plesk-updates. Ook MijnAccount en webmail vielen onder de maatregel; e-mailverkeer, Websitemaker en Webshop bleven volgens de melding werken. TransIP meldde die dag om 13:20 uur dat zijn webmail preventief offline was gehaald, terwijl mailboxen via mailprogramma’s zoals Outlook bleven werken. Dat zijn verschillende keuzes voor verschillende diensten, geen aanwijzingen op zichzelf dat er een inbraak heeft plaatsgevonden.

Het NCSC adviseert om kwetsbare toepassingen te inventariseren, snel te patchen en waar nodig te overwegen internettoegang tijdelijk te beperken. Een voorzorgssluiting betekent niet dat een organisatie is gehackt. Omgekeerd bewijst een bereikbare website niet dat het risico is verdwenen.

Blijf niet op een verouderde PHP-versie draaien

Oudere PHP-versies ontvangen op een gegeven moment geen beveiligingsupdates meer van het PHP-team. Daardoor kunnen nieuwe kwetsbaarheden onopgelost blijven. Op de officiële overzichtspagina van PHP staat welke versies nog worden ondersteund.

Bij Rendar zorgen we ervoor dat PHP zo ver mogelijk is bijgewerkt, rekening houdend met wat de website en de gebruikte onderdelen ondersteunen. Als verouderde websitesoftware een verdere upgrade tegenhoudt, vraagt ook die software om aandacht. Een actuele, ondersteunde PHP-versie vormt de basis voor goed websiteonderhoud; daarnaast blijven nieuwe beveiligingsupdates nodig zodra die beschikbaar komen.

Staat uw website bij Rendar? Wij regelen het

Staat uw website bij Rendar, dan hoeft u hiervoor zelf niets aan te passen. Wij volgen de ontwikkelingen, houden de beveiliging in de gaten en stemmen de benodigde updates af met onze hostingprovider. Samen met Hoasted zorgen we voor de installatie zodra de bijgewerkte PHP-versies voor onze hosting beschikbaar zijn.

Wordt uw website elders gehost en beheerd, vraag dan uw beheerder welke maatregelen zijn getroffen en wanneer de beveiligingsupdate wordt geïnstalleerd. Beheert u de omgeving zelf, volg dan de officiële berichten van PHP en uw softwareleveranciers. Het advies van CERT-EU biedt hiervoor verdere informatie.