Volgens W3Techs werd PHP per 21 oktober 2026 gebruikt door 69,2% van de websites waarvan de server-side taal bekend is, een statistiek die Hadrian in zijn PHP2Shell-analyse gebruikte om de mogelijke omvang van de blootstelling te illustreren. Het percentage betekent niet dat 69,2% van de sites kwetsbaar is; de werkelijke blootstelling hangt af van de geïnstalleerde versie, de pakketten van de distributeur en de systeemconfiguratie.

De blootstelling is niet louter theoretisch. Wiz Research heeft uitvoering van code zonder authenticatie aangetoond op de huidige officiële container-images van WordPress, Drupal en Joomla. Standaard-CMS-installaties zijn daarmee directe doelwitten, zonder dat een speciale configuratie nodig is.

Amazon Threat Intelligence nam in zijn MadPot-honeypots een poging waar op 17 oktober, nog voordat de kwetsbaarheden en patches waren gepubliceerd. Een retroactieve analyse van de logs moet daarom beginnen bij 17 oktober 2026. Daarna werden scan- en misbruikpogingen gemeld en werden PoC's openbaar.

Op 24 oktober verscheen de eerste hoogwaardige openbare bevestiging van geslaagd misbruik: Adel Karimi, detection & response lead bij Perplexity, registreerde in zijn honeypots 35 shells die vanaf twee IP-adressen werden gestart, op Apache mod_php met PHP 8.4.26, via een HTTP-keten in vier fasen die overeenkwam met een openbare PoC. Het bewijs omvatte een geheugendump van 800 KiB, die Karimi tot de conclusie bracht: “bevestigde RCE met bruikbare openbaarmaking van geheugeninhoud”. De bevinding werd onafhankelijk gevalideerd door Marcus Hutchins (Expel), als “verreweg de hoogwaardigste bevestiging van misbruik in het wild tot nu toe”. Karimi benadrukte echter dat de test draaide op een bewust gunstig mod_php-profiel met één worker en niets zegt over de betrouwbaarheid bij andere aantallen workers, builds of applicaties.

Op 26 oktober voegde CISA beide CVE's toe aan zijn catalogus Known Exploited Vulnerabilities (KEV), met een hersteltermijn tot 29 oktober voor Amerikaanse federale instanties. Los daarvan meldde CYFIRMA, met gemiddelde zekerheid, een scan- en verkenningscampagne die werd toegeschreven aan het Lazarus-ecosysteem en gericht was op 216 ongepatchte of gedeeltelijk gemitigeerde PHP-hosts, verkenningsactiviteit, geen bevestigd misbruik.

Detectie en respons

Naast het patchen beveelt het SOC een retroactieve analyse van blootgestelde systemen aan, ten minste vanaf 17 oktober 2026, waar telemetrie beschikbaar is. Correleer verdachte toegang met procesuitvoering, bestandswijzigingen, uitgaande verbindingen en authenticatiegebeurtenissen. Het ontbreken van telemetrie of alerts bewijst niet dat er geen misbruik heeft plaatsgevonden.

1. Procestelemetrie / EDR

Genereer een alert bij elk proces dat door php-fpm, php-cgi, httpd of apache2 wordt gestart en een shell of downloadtools opstart (sh, bash, dash, curl, wget, nc, python, perl). Bij normaal gebruik is dit gedrag zeldzaam en moet het worden behandeld als mogelijke compromittering.

2. Web- en PHP-logs

•   Pieken van POST multipart/form-data-verzoeken vanaf dezelfde bron, vooral met een ongebruikelijk aantal parts of headers.

•   Diep geneste veldnamen of verzoeken die PHP_SESSION_UPLOAD_PROGRESS bevatten, ook naar endpoints die geen uploads zouden moeten accepteren.

•   Herhaalde HTTP 500-responses, crashes of onverwachte herstarts van PHP-workers.

•   Misvormde of ongewoon lange PHPSESSID-cookies en herhaalde fouten (SIGSEGV, AH00052, zend_mm_heap corrupted, "Allowed memory size … in Unknown on line 0") in de PHP-, Apache- of FPM-logs.

3. Bestandssysteem en persistentie

•   Nieuwe of gewijzigde PHP-bestanden in upload-, cache- of via het web toegankelijke mappen; controleer tijdstempel, eigenaar en inhoud.

•   Nieuwe cronjobs voor de webservergebruiker, recent toegevoegde SSH-sleutels of accounts; ongebruikelijke uitgaande verbindingen die door webworkers worden opgezet.

4. Hoe u indicators of compromise (IoC's) gebruikt

Behandel IoC's als startpunt voor correlatie, niet als op zichzelf staand bewijs: sommige adressen kunnen tot anonimiseringsinfrastructuur behoren of in legitiem verkeer voorkomen. Een match bevestigt geen compromittering en rechtvaardigt geen automatische blokkering. Valideer de bron, datum en context van elke indicator en vergelijk deze met host- en netwerktelemetrie.

Incidentrespons: als er geloofwaardige aanwijzingen voor compromittering zijn

1.  Isoleer het getroffen systeem en beperk de netwerktoegang zonder bewijsmateriaal te vernietigen.

2.  Bewaar de logs en, waar mogelijk, een schijfimage en relevante geheugen-/procesartefacten.

3.  Roteer alle inloggegevens waartoe het webproces toegang heeft: databasewachtwoorden, API-sleutels, tokens en .env-secrets.

4.  Zet het onderzoek voort naar persistentie, exfiltratie en laterale beweging. Alleen PHP bijwerken verwijdert de toegang van een aanvaller niet als het systeem al gecompromitteerd was.

5.  Escaleer naar het SOC-/IR-team en beoordeel de toepasselijke meldplichten (AVG, NIS2).

Referentietabellen

[1]  PHP Security Advisory — GHSA-w8hw-w9fx-j79w (CVE-2026-109618) — https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

[2]  PHP Security Advisory — GHSA-6wmf-4rv5-p3rp (CVE-2026-109619) — https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

[3]  PHP official notice — Session upload progress (CVE-2026-115560), 23 okt. — https://www.php.net/archive/2026.php#2026-10-23-1

[4]  Amazon Threat Intelligence — MadPot observations, 17–21 okt. 2026 — https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/

[5]  Cloudflare — PHP2Shell: WAF mitigations and their limits — https://blog.cloudflare.com/php-vulnerabilities-waf-protection/

[6]  CISA — Critical Vulnerabilities in PHP Require Immediate Patching — https://content.govdelivery.com/accounts/USDHSCISA/bulletins/42ff5ac

[7]  VulnCheck — exploit research update, 23 okt. 2026 — https://www.vulncheck.com/blog/php2shell-vulnerabilities

[8]  Wiz Research — PHP2Shell technical disclosure (RCE op CMS-containers) — https://www.wiz.io/blog/php2shell-php-rce

[9]  Censys — PHP2Shell services (dynamische, indicatieve gegevens) — https://php2shell.censys.com/

[10]       Red Hat — RHSB-2026-013 (pakketten/distributies) — https://access.redhat.com/security/vulnerabilities/RHSB-2026-013

[11]       AWS Security Blog — WAF mitigating controls, 21 okt. 2026 — https://aws.amazon.com/blogs/security/using-aws-waf-to-apply-mitigations-for-php2shell-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/

[12]       Recorded Future News — exploitation attempts and corrections (incl. de herziening door Sophos) — https://therecord.media/php-php2shell-exploitation-attempts-pocs

[13]       Unit 42 / Palo Alto Networks — PHP2Shell Threat Brief (bijgewerkt, intrekking van de koppeling) — https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/

[14]       SecurityWeek — PHP2Shell Exploitation Moves From Probes to Working Shells (35 shells in een honeypot) — https://www.securityweek.com/php2shell-exploitation-moves-from-probes-to-working-shells/

[15]       securityonline.info — PHP2Shell added to CISA KEV; probing campaign attributed to Lazarus (CYFIRMA) — https://securityonline.info/php2shell-cisa-kev-confirmed-rce-dprk/

[16]       The Hacker News — Wordfence IOC lists and the Potassium botnet (secundaire bron) — https://thehackernews.com/2026/10/php2shell-exploit-attempts-hit-millions.html

[17]       SOCRadar — exploitation report / observed infrastructure — https://socradar.io/blog/php2shell-cve-2026-109618-cve-2026-109619/

[18]       W3Techs — Usage statistics and market share of PHP (statistiek per 21 okt. 2026) — https://w3techs.com/technologies/details/pl-php

BleepingComputer — PHP2Shell security flaws now successfully exploited in the wild (RCE in een honeypot, 26 okt.) — https://www.bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild/