Cloudflare ziet 'miljoenen' PHP2Shell-misbruikpogingen sinds bekendmaking

Cloudflare ziet inmiddels miljoenen pogingen om de PHP2Shell-kwetsbaarheden te misbruiken op zijn netwerk. Dat meldt ceo Matthew Prince. In de uren voor de bekendmaking werden al pogingen gedaan, en dat aantal is sindsdien alleen maar gegroeid.

In de tien uur voordat PHP2Shell openbaar werd gemaakt, zag Cloudflare op zijn netwerk al 'duizenden pogingen' om misbruik te maken van de lekken. Dat schreef Matthew Prince op sociale media.

"Dat aantal steeg tot tienduizenden in de 45 minuten na de aankondiging en tot honderdduizenden binnen twee uur", aldus de Cloudflare-topman. Inmiddels ziet zijn bedrijf naar eigen zeggen op zijn netwerk miljoenen pogingen om de lekken te misbruiken.

Cloudflare was betrokken bij het uitbrengen van mitigaties en patches voor PHP2Shell. Het bedrijf voerde uren voordat de patches beschikbaar kwamen al mitigaties door in zijn web application firewall-dienst.

Voor zover bekend zijn de PHP2Shell-kwetsbaarheden nog niet succesvol misbruikt. Volgens het Nederlandse Nationaal Cyber Security Centrum zijn daar vooralsnog geen aanwijzingen voor, al sluit dat toekomstige aanvallen niet uit.

Daarom wordt aangeraden om de patches zo snel mogelijk te installeren. De PHP Foundation bracht die woensdagmiddag uit voor versies 8.2 tot en met 8.5, met informatie die backports mogelijk moet maken voor enkele oudere versies. Het NCSC adviseert nog steeds om systemen die niet gepatcht zijn uit voorzorg offline te houden, totdat de updates geïnstalleerd zijn.

Gaten in PHP. Bron: Tweakers

Reacties (43)

[xxs]

Hoe kan Clouflaire eigenlijk zien dat het misbruikpogingen zijn, de meeste sites zijn toch encrypted (https) verkeer?

[o0Runaljod0o]

Cloudflare kan ook optreden als reverse proxy, dat zou een manier kunnen zijn.

[MrWiggle]

Dat is toch eigenlijk hun core product?

[base_]

je zet letterlijk proxy switch aan per dns record als je cloudflare protectie en caching wilt gebruiken voor http(s)

[Menesis]

Cloudflare kan het HTTP request zien want het is zelf het einde van de versleutelde verbinding. De DNS van het domein wijst naar Cloudflare in plaats van naar je eigen server.
En zo werkt het ongeveer:

To better identify exploit attempts, Cloudflare developed full transaction detection, a new WAF capability that analyzes both sides of the same HTTP transaction. While some malicious payloads can be identified using the request alone, the response contains useful signals that can be used to create rules with higher confidence, reducing false positives. A matching full transaction rule can block the origin response before it reaches the requester. Learn how it works in our full transaction detection blog post.

[Reactie gewijzigd door Menesis op 22 oktober 2026 16:28]

[xxs]

Ach ja, natuurlijk. Tnx.

[Marve79]

Op dit soort momenten ben ik blij dat heel mijn homelab achter Cloudflare zit.

Heb alles wel gepatched maarja je kunt soms iets vergeten.

[mace]

Ja en laat Cloudflare dat nu net afhandelen voor je als je gebruik maakt van hun dienst.

[bcome]

Ja, tot aan Cloudflare. Die decrypt het vervolgens om het dan (optioneel weer versleuteld) naar de bestemming te sturen.

[RusFighter]

Dit is niet altijd waar. Vaak wordt de instelling waarbij de ssl termination bij Cloudflare gebeurd, die vervolgens de requests scanned, en daarna weer ssl verbinding maakt met de origin gebruikt.

[Liveonline]

net zoals deze sites dingen uitvogelen https://blackoutmap.net/blog/php2shell maar cloudflare heeft natuurlijk wel een betere positie

[dutchgio]

Cloudflare zit er tussen om de inhoud te zien en kan dan verkeer blokkeren op basis daarvan, dat is nou net wat ze aanbieden.

[RxTweak]

Mooie vraag en dat leggen ze in deze blogpost helemaal uit.

[Merik]

Waarschijnlijk door de toename van het aantal request dan wel internetverkeer. Gisteren was de Metal Archives website onbereikbaar, vanwege het 'overschrijden van de rate limit' volgens de Cloudflare pagina.

Dat was trouwens om de release date van het nieuwe Ignea album te checken - morgen al

[themadone]

Als je Cloudflare gebruikt zit je meestal in proxy modus. Dat betekent dat het verkeer niet direct op je server land en Cloudflare de zal verbinding met de cliënt heeft en met de host van de website.

Dus Cloudflare kan inhoudelijk meekijken. Maar ik mag hopen dat iedereen zich dat beseft?

[msole]

Wat ik me altijd afvraag is, wat doet men met deze informatie? Worden de "personen" die deze "misbruikpogingen" uitvoeren ook opgevolgd? Benaderd? Gestraft?

Of mag/kan je gewoon beveiligingslekken misbruiken?

[ocn]

Je mag natuurlijk gewoon aan de deur kloppen. Inbreken is computervredebreuk.

[sympa]

Het is meer alsof je met een inbrekerssetje de deuren in de buurt probeert open te maken.

[GertMenkel]

Met een valse sleutel in andermans slot porren wordt niet gewaardeerd door de politie, zelfs als het slot niet opengaat. Dit soort misbruikpogingen zijn illegaal, in elk geval in Nederland.

Maar goed, de politie zal je lachend de deur uit sturen als je aangifte probeert te doen tegen zo'n automatische scanbot. Als je zover komt een aangifte in te vullen en zelfs de politie overtuigt om het op te pakken, heeft cybercriminaliteit in Nederland niet een hele hoge pakkans. 99% van de oplichting wordt niet opgelost, en dat zijn nog de makkelijke gevallen waar je registratie hebt voor dingen als domeinen en bankrekeningen.

Hooguit gaan Amazon/Google/Microsoft/Oracle na veel meldingen van misbruik klagen bij de bank van de gestolen credit card waarmee deze servers gekocht gehuurd zijn, als het niet al servers van onschuldige mensen zijn die eerder zelf gehackt waren.

[Reactie gewijzigd door GertMenkel op 22 oktober 2026 18:19]

[Henkje.doc]

Klopt, maar belletje trekken leverde vroeger mogelijk ook wel wat vragen op

[Soldaatje]

Als je toestemming hebt wel, ik ga ervan uit dat ze die allemaal wel hebben.

[dutchgio]

Veel sites hebben tegenwoordig een responsible disclosure beleid. Dus proberen mag, maar dan wel als doel om het te melden zodat het opgelost kan worden, niet om er misbruik van te maken.

[SuperSonicFreak]

Of mag/kan je gewoon beveiligingslekken misbruiken?

Als AI agents mag je alles

Al denk ik dat dit vooral voor aandacht gepubliceerd is en de informatie niet zo zeer voor “vervolgen” van zal gebruikt worden.

Dat niet alleen, er zouden in zekere zin ook bots of dergelijke ingezet zijn om te scannen op kwetsbaarheden.

Dit laatste zie ik recent ook meer toenamen mijn homelab.

[thomasmoors]

Die zorgen in de regel wel dat ze niet te traceren zijn

[Bender]

Men kan daardoor problemen herkennen en gaan blokkeren

[Apperino]

Valt dit terug te zien in het Cloudflare dashboard?

[bcome]

Ik zie inderdaad ook multipart/form-data requests op mijn webserver belanden, en tot nu toe zijn het grotendeels Google IPs... heel fijn.

[Step]

Niemand heeft benoemd dat websites achter Cloudfront (AWS) up waren? NOS en nog een aantal andere sites die up bleven en daar draaien? Of zou bij al die websites PHP ontbreken?

[SirJesse93]

Van de NOS weet ik toevallig dat hun voorkant op Next.js draait.

[jvwou123]

Is dat ook niet iets mee op dit moment?

https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-148/

[CompFrans]

Wat ik erg interessant (en grappig vind): gisteren was er een duidelijke reactie in Nederland. Daarna, iets later, ook in Belgie en in Frankrijk. Ik keek, nieuwsgierig geworden, even op het internationale nieuws. Nauwelijks iets... Ergens werd nog wel het PHP probleem besproken en specifiek stond er bij dat in Nederland websites offline waren.

Vanochtend op de BCC uitgebreide rapporten: zowel op het televisie-nieuws als online. Ongeveer de reactie van gisteren. Op CNN lijkt het nu pas een beetje te beginnen.

Lopen wij nu zo voor? Het lijkt wel of het probleem 'gefaseerd uitgerold' wordt over de wereld.

[Kalief]

De BBC had een 'cyber security expert' die zei nog nooit van PHP te hebben gehoord.

"Cyber correspondent Joe Tidy says he didn't know PHP existed until yesterday morning - it's "one of these things we take for granted", he says."

https://www.bbc.com/news/live/ckgel5xp2xv9t

[R.G]

Total geen cybersecurity Expert.. dus

[mfkne]

Heeft Rian van Rijbroek een nieuwe partner?

[Guru Evi]

Ik denk dat de EU graag over-reageert met deze zaken omdat we ver achterlopen met zaken zoals WAF, patches etc; ik zie het verschil in de datacenters waar EU weinig 'grote' vendors zoals CloudFlare of Palo Alto of F5 of Red Hat heeft maar meer Nokia, Alcatel-Lucent, SuSE of andere "kleine" providers die snel achterlopen.

Deels ervan is de over-regulering, deels ervan is de kosten, deels is gewoon cultureel (isolationisme).

Maar met dit PHP probleem zie ik ook elders vaak: dit systeem is gereguleerd (GDPR, NIST 800-53/171) patches lopen ENORM achter. PHP 8.2, PHP 5 zelfs gewoon omdat "dit is gecertificeerd, en updaten kost teveel voor her-certificatie" en dan gisteren "woops, beter afzetten" want RHEL8 kwam maar met patches ~12u later? en RHEL7 is volledig achtergelaten. Maar compliance zou volgens mij veel sneller moeten verlopen en controle geautomatiseerd worden. LTS versies beginnen bij mij te verzuren.

[Reactie gewijzigd door Guru Evi op 22 oktober 2026 18:26]

[Dryw.Filtiarn]

Ik denk dat na de preventieve shutdown bij Ahold we in Nederland er iets meer aandacht voor is en grotere acceptatie om preventief/proactief te reageren.

Maar het was mij ook opgevallen dat er internationaal relatief weinig aandacht voor was terwijl Nederland relatief natuurlijk maar een kleine speler is op hosting gebied en het hier volop op de voorgrond stond.

[olafmol]

Combinatie van lokale massa-hysterie, aangewakkerd door de "cyber-experts", en het feit dat we hier een paar uur voorlopen op de VS. In de VS werd iedereen wat later wakker en waren ze wat dichter bij het "patch-moment". In bv Japan gingen er ook wel wat sites offline, maar hier in NL was het wel echt een soort van golf van paniek. Ook best bijzonder dat de meeste overheidsinstanties blijkbaar geen scenario/draaiboek met een statische fallback site voor dit soort situaties hebben.

[GertMenkel]

Op Reddit en andere sociale media was de vooraankondiging van het lek, waar gisterochtend iedereen over in paniek raakte, al een halve dag bekend. Ik heb het zelf voorbij zien komen uit deze toot van 20 oktober om 6 uur 's middags: https://cyberplace.social/@GossiTheDog/117474220875882526 (en heb toen maar preventief wat dingen die ik toch niet meer gebruikte uitgezet).

De aankondinging dat er een belangrijke patch uit kwam volgde niet lang daarna op php.net: https://www.php.net/archive/2026.php#2026-10-20-1

Toen was het midden op de dag voor de Amerikanen.

[meowmofo]

Massa hysterie? We hebben op basis van de beschikbare informatie weloverwogen besluiten genomen, daar is niks hysterisch aan.

[olafmol]

Dat blijkt. Terwijl het een klusje van niks is om een statische "read only" variant van je belangrijkste informatie te trekken... tja..

[BorgMan]

Misschien kan iemand me uitleggen hoe het kan dat er een stijging van pogingen was voordat de exploit de wereld in werd geslingerd? Is dat dan een interne lek geweest?