PHP2Shell: lek gedicht, alles weer online

Update 21 oktober, 20:45 uur: opgelost, alles weer online

Het lek is gedicht. De update van PHP is op al onze systemen geïnstalleerd, en de systemen die we uit voorzorg hadden uitgezet, staan weer aan. Ook de tijdelijke blokkade hebben we weggehaald. Formulieren, uploads en bijlagen werken dus weer zoals je gewend bent. Alles zou weer normaal moeten werken.

De komende dagen houden we onze systemen nauwlettend in de gaten. Waar we dat nodig vinden, voeren we nog kleine aanpassingen door. Daar merk je in principe niets van.

Werkt er toch iets niet zoals voorheen, of zie je iets wat je niet vertrouwt? Laat het ons weten via 033 781 1000 of info@veenstra-it.nl. Bedankt voor je geduld vandaag.

Hieronder lees je hoe deze dag verliep.

Update 21 oktober, 15:15 uur: een aantal systemen weer online

Een deel van de systemen die we vanochtend uit voorzorg hadden uitgezet, is weer online. Op die systemen hebben we PHP verwijderd. Ze werken nu zonder PHP, en daardoor kan dit lek ze niet meer raken.

Dit was geen noodgreep. We waren al van plan om PHP op deze systemen uit te faseren. PHP2Shell was voor ons de reden om die stap nu te zetten.

De overige systemen blijven uit of afgeschermd tot de update van PHP is geïnstalleerd. Hieronder lees je wat er vanochtend is gebeurd en wat we nog gaan doen.

Wat is PHP2Shell?

PHP is de programmeertaal waarop een groot deel van alle websites draait, waaronder WordPress. Ook veel webmail-, agenda- en bestandsdiensten gebruiken PHP. Op 21 oktober 2026 werden in PHP twee ernstige kwetsbaarheden bekend die samen PHP2Shell heten. Ze staan geregistreerd als CVE-2026-109618 en CVE-2026-109619.

Via een speciaal opgesteld uploadverzoek kan een aanvaller op een kwetsbare server opdrachten uitvoeren. Sinds vanochtend worden er wereldwijd al pogingen gezien om het lek te misbruiken. De makers van PHP brengen vandaag om 16:00 uur Nederlandse tijd een update uit die het probleem oplost. Tot die update is geïnstalleerd, moet het lek op een andere manier worden afgeschermd.

Wat we vandaag hebben gedaan

We zijn direct na de bekendmaking begonnen. Omdat we onze systemen zelf beheren, op eigen servers in Nederland, konden we meteen ingrijpen zonder op een andere partij te wachten.

• Alles nagelopen. Per server en per dienst hebben we bekeken of er PHP op draait en welke versie. Overal draait een versie waarvoor de update vandaag verschijnt.
• Vooraf een momentopname gemaakt. Van de systemen die we aanpasten, hebben we eerst een momentopname gemaakt. Gaat er iets mis, dan kunnen we terug.
• Een tijdelijke beveiligingsinstelling gezet. Op elk eigen systeem met PHP staat nu een instelling die een van de twee aanvalsroutes afsluit. We hebben per systeem gecontroleerd dat de instelling ook echt actief is.
• De tweede route van buitenaf dichtgezet. Het soort uploadverzoek waarmee het lek misbruikt wordt, houden we tegen voordat het PHP bereikt. Dat geldt voor onze websites en voor vrijwel al onze diensten.
• Van buitenaf getest. We hebben gecontroleerd dat de blokkade werkt, ook tegen bekende manieren om zo'n filter te omzeilen. En dat gewone pagina's, inloggen en mail daarna nog werkten.

Die blokkade heeft een prijs: een aantal functies die op uploads leunen, staat tot de update uit. Dat zijn de systemen die je nu misschien mist.

Wat je daarvan merkt

• Formulieren waarmee je iets meestuurt werken tijdelijk niet. Dat geldt ook voor het contactformulier op deze website. Bel of mail ons in de tussentijd.
• Bestanden en afbeeldingen uploaden in websites, zoals in WordPress, werkt tijdelijk niet.
• In sommige webmail- en bestandsomgevingen kun je tijdelijk geen bijlage of bestand toevoegen.
• Mail ontvangen en versturen in je mailprogramma of op je telefoon, inloggen en websites bekijken werken gewoon.

Excuses voor het ongemak. We houden deze periode zo kort mogelijk.

Waarom je als klant beschermd bent

• De aanvalsroute staat dicht. Het lek wordt misbruikt via uploadverzoeken. Die houden we bij vrijwel al onze systemen van buitenaf tegen, voordat ze PHP bereiken.
• Er ligt een tweede laag onder. Daarnaast staat op elk systeem met PHP de tijdelijke beveiligingsinstelling aan. Komt een verzoek toch langs de blokkade, dan is een van de twee routes daar al afgesloten.
• Het klantportaal draait niet op PHP. Mijn VIT Werkplek, waar je programma's downloadt en hulp vraagt, is in een andere programmeertaal gebouwd en wordt door dit lek niet geraakt.
• Geen aanwijzingen van misbruik. We hebben geen aanwijzingen gevonden dat een van onze systemen is misbruikt.

Een tijdelijke maatregel is geen vervanging van de update. Daarom installeren we die zo snel mogelijk.

Wat we nog gaan doen

• Vanaf 16:00 uur de update installeren. Systeem voor systeem, met na elke stap een controle dat alles goed werkt.
• Updates van leveranciers volgen. Een deel van onze diensten, zoals sommige mail- en bestandsonderdelen, krijgt de update via de leverancier van dat onderdeel. Dat kan iets later zijn dan 16:00 uur. We installeren die updates zodra ze er zijn, en tot dan blijven de tijdelijke maatregelen staan.
• De tijdelijke maatregelen weghalen. Pas als een systeem bijgewerkt is, halen we daar de blokkade en de tijdelijke instelling weg. Formulieren en uploads werken dan weer.
• Nalopen en bijwerken. Daarna controleren we of alles weer werkt zoals voorheen. Dit artikel werken we bij zodra er nieuws is.

Vragen?

Heb je vragen over je eigen website of systemen, werkt er iets niet, of heb je ons dringend nodig? Bel Veenstra IT op 033 781 1000 of mail info@veenstra-it.nl.

Laatst bijgewerkt: 21 oktober 2026, 20:45 uur.