NCSC krijgt eerste signalen dat PHP-lekken succesvol zijn misbruikt

Het Nederlandse Nationaal Cyber Security Centrum ziet 'eerste signalen' dat de PHP2Shell-kwetsbaarheden succesvol zijn misbruikt. De organisatie had eerder nog geen misbruik geconstateerd. Het NCSC doet momenteel onderzoek.

Dit nieuws in het kort

• Het NCSC heeft signalen ontvangen van succesvol PHP2Shell-misbruik en doet daar onderzoek naar.
• De organisatie waarschuwt dat de situatie snel kan verslechteren.
• Het installeren van de updates is de enige echte oplossing; mitigaties verhelpen het probleem niet volledig.

"Op dit moment onderzoekt het NCSC eerste signalen van succesvol misbruik", schrijft de securityorganisatie in een update op zijn PHP2Shell-pagina. Ook tegenover de NOS zegt het NCSC dat het signalen van succesvol misbruik heeft ontvangen. Wat die signalen precies inhouden, is niet bekend.

"Pogingen om het lek te misbruiken gaan al sinds gisteren rond. We hebben contact met allerlei organisaties in binnen- en buitenland, en via die weg krijgen we signalen binnen dat er misbruik plaatsvindt", zegt een woordvoerder tegen de NOS.

De gaten in de scriptingtaal PHP worden mogelijk misbruikt, blijkt uit 'signalen' van het NCSC. Bron: Tweakers

Alleen updaten helpt

Eerder zei het NCSC dat het nog geen succesvol misbruik had geconstateerd. Er gingen al wel proof-of-concepts rond: stukken code die aantonen dat de PHP-lekken uitgebuit kunnen worden.

Het NCSC waarschuwt dat de situatie snel kan verslechteren. Website-eigenaren wordt daarom met klem aangeraden om de updates zo snel mogelijk te installeren. Systemen die nog niet geüpdatet kunnen worden, kunnen beter offline blijven totdat de patches zijn geïnstalleerd.

Er zijn wel mitigaties voor de kwetsbaarheden bekend, maar die zijn niet waterdicht. Alleen de updates, die gistermiddag verschenen, kunnen de kwetsbaarheden daadwerkelijk oplossen.

Veel websites lijken inmiddels beschermd

Uit onderzoek van de NOS blijkt dat veel websites inmiddels beschermd zijn. In Nederland gaat het zeker om 113.000 websites die de updates hebben geïnstalleerd. Het nieuwsmedium stelt daarbij dat zo'n 145.000 Nederlandse websites mogelijk nog steeds kwetsbaar zijn, al valt dat niet met zekerheid te zeggen.

De PHP-kwetsbaarheden kwamen woensdagochtend aan het licht, eerder dan eigenlijk de bedoeling was. De kwetsbaarheden kunnen relatief simpel uitgebuit worden en hebben grote gevolgen. Ze maken het mogelijk om websites over te nemen en daar bijvoorbeeld data te stelen of malware te verspreiden.

Veel websites en diensten gingen woensdag daarom uit voorzorg offline, waaronder verschillende overheidsdiensten, DigiD, de Schiphol-app en meer. Ook Tweakers ging woensdag preventief offline.

Tweakers ging woensdagmiddag uit voorzorg offline.

Reacties (36)

[max3D]

Hoe checkt de NOS de php versies van websites? Ik dacht dat we die niet exposeren?

[ThomasG]

PHP voegt standaard de header X-Powered-By: PHP/versie toe. Dan kun je precies zien welke PHP-versie een website gebruikt. Dat is uit te schakelen via de php.ini, of te verwijderen door een reverse-proxy. Maar standaard staat het aan, dus laten heel veel websites het zien.

[Xilonz]

Dat, plus dat o.a cloudlinux geen nieuwe versie heeft uitgebracht en dus een gepatchte versie en niet gepatchte variant met dezelfde versie bestaat. Ik heb daar mijn mening over...

[LEiPiE]

Dat vroeg ik mij ook af, misschien een extrapolatie van een paar die het wel laten zien.

Kwam er gisteren wel achter dat een van mijn vms nog wel expose aan had staan, de rest niet.

[rekeewt]

Amazon zag een week geleden al aanvallen…

[Bedge85]

Amazon Threat Intelligence identified a PHP2Shell exploitation attempt dating to Oct. 17, 2026

In deze is het belangrijk om onderscheid te maken tussen een poging en een daadwerkelijke hack. Tot nog toe was er enkel bekend dat er pogingen gedaan worden om het lek uit te buiten. Het NCSC geeft nu aan signalen binnen te krijgen van succesvolle misbruik van het lek.

[dasiro]

poging kan ook impliceren dat ze misschien niet willen aangeven of ze succesvol was

[Memori]

En de onderscheid tussen het identificeren van een poging op 17 oktober, en iets "een week geleden" zien. Ze zagen een week geleden niets. Ze gingen gisteren in de logs en zagen toen dat er op 17 oktober een poging was.

[Reactie gewijzigd door Memori op 22 oktober 2026 21:13]

[HakanX]

Het eerste wat je doet als je binnen bent is je sporen wissen. Dus als ze eerder binnen zijn geweest, hoeft daar geen sporen van zichtbaar te zijn. Normaal gesproken zorg je er ook voor dat je de deur achter je dicht doet, maar in dit geval was dat niet mogelijk.
Dat betekend dat er na een succesvolle hack nog nieuwe pogingen door anderen zichtbaar kunnen zijn. Nu is de deur wel dicht, maar is de inbreker binnen of buiten?

[mace]

Aanvallen, maar geen succesvol misbruik.

[rekeewt]

Een week voor het publiek worden van de vulnerability… 1+1=2, weet zeker dat er succes achter zat.

[Dennahz]

Tja, inmiddels staat de patch al een dag online. Zelfs voor oudere versies van PHP. Als je deze nu nog niet hebt uitgerold dan ben je natuurlijk niet echt handig bezig.

[oef!]

De komende tijd gaan we er gegarandeerd achter komen dat en hele hoop bedrijven en personen niet handig bezig zijn

[m_aar_ten]

Ik denk dat je zwaar overschat hoe strak mensen op hun patches zitten 😅

[Jan121]

Inmiddels zijn ook oudere PHP versies gepatched, bijvoorbeeld php5.6 op debian/ubuntu 24.04 LTS

5.6.40-105+ubuntu24.04.1+deb.sury.org+1

[lenwar]

En dat is geen goede zaak. Die hele oude versies van PHP moeten zo lek als een mandje zijn. Deze ene patch gaat er waarschijnlijk voor zorgen dat die oude, lekke spullen nog langer gebruikt worden.

Als ze die versies continu bijhouden is het overigens wel prima natuurlijk.

[Lordfox73]

Probleem is natuurlijk dat je je als niet-al-te-technische websitehouder waarschijnlijk nu wel beseft dat je naar een nieuwere versie van PHP moet, maar dat dit niet zo maar kan. Want als je niet bij je site kunt, kun je ook niet updaten voordat je de PHP versie omhoog brengt.
Dus als ze de oude PHP versies nu direct blokkeren dan komen er een heleboel websites niet meer terug, en heb je een heleboel boze klanten.

Wat je natuurlijk wel kunt doen - en m.i. ook wel had mogen doen, is zo'n 1½ jaar na end-of-life van een versie aankondigen dat de klant moet updaten omdat de versie na een half jaar verwijderd wordt.

Dan kunnen klanten ook niet boos worden - ook al hadden die zelf dat natuurlijk gewoon moeten bijhouden. Maar ja, dat is soms best lastig als je het niet zo goed snapt.

[lenwar]

Maar we hebben het hier over PHP 5.6 die sinds januari 2019 EOL is.

https://www.php.net/supported-versions.php
Het is natuurlijk heel onpraktisch dat er ieder jaar een nieuwe versie van PHP uitkomt. Dus anderhalf jaar is hier niet praktisch. (Je kunt natuurlijk ook versies overslaan).
Maar als we naar praktijksituaties kijken: Een niet al te technische websitehouder zal zeer waarschijnlijk gewoon een off-the-shelf product pakken als Wordpress. Daar wordt de PHP-versie verschoven naar het probleem van Wordpress, en niet van die websitehouder.

[MrMarcie]

Klanten zijn opeens wakker geworden. Nu kan je ze ook duidelijk maken dat bijvoorbeeld van 8.1 naar 8.2 geen zin heeft vanwege eol soon. Dus elk nadeel heb zijn voordeel. Ze zijn geschrokken, prima dus.

[paradoXical]

Natuurlijk is dit wel een goede zaak, het is niet altijd mogelijk om direct te patchen. Genoeg hobbyisten die hiermee wat tijd winnen om hun zaakjes wel op orde te krijgen

[lenwar]

PHP 5.6 is heeft een EOL uit januari 2019.

Het gaat hier niet om patchen van bestaande software, maar upgraden naar een hogere versie. De PHP foundation heeft ook netjes gedocumenteerd waar je rekening mee moet houden voor je migratie naar een hogere versie: https://www.php.net/eol.php

Genoeg hobbyisten die hiermee wat tijd winnen

Nou ja. Dat is helemaal niet gezegd. Als PHP 5.6 zo lek is als een mandje en er is één pleistertje geplakt op één van de vele lekken die toevallig wat groter in de media is gekomen, dan schiet het natuurlijk nog steeds niks op.

[phray]

Er zijn genoeg leveranciers die nog oudere versies van PHP leveren met backports van de fixes. (Vaak wel tegen prijs).

[voda]

De urgentie is nu gelukkig wel duidelijk bij veel mensen. Deze packages geven wel net even wat extra tijd om de boel goed te updaten.

[voda]

Zeker, ook voor Ubuntu 22.

Check:

https://launchpad.net/~ondrej/+archive/ubuntu/php/+index?batch=75&memo=225&start=225

[markoverklift]

Heel netjes om eerst alles meteen uit te schakelen en te updaten en daarna pas aan klanttevredenheid en verklaringen te werken. Weer goed het voorbeeld gegeven.

[MiesvanderLippe]

Signalen zullen wel zijn;

Een hostingprovider klaagt, een honeypot is gepakt, een site met network monitoring had inkomend verkeer en daarna een webshell.

[DefaultError]

Een aantal mail&website providers waren een tijd terug al het haasje. Nu is het aan de grote klok gehangen.

Kwestie van doorschakelen en alle oudere systemen loskoppelen en als het lukt van updates voorzien. ‘Thats the way it works’.

[allabouteve]

Sorry hoor maar als je na al deze trammelant alsnog het nut niet zag om actie te ondernemen dan zou ik de boel offline halen en niet meer terug online zetten.

[Reactie gewijzigd door allabouteve op 22 oktober 2026 19:22]

[CPM]

Even teruglezen bij de eerdere nieuwsberichten. Daar kwamen er een aantal voorbij die de boel offline halen wel erg dramatisch vonden.

[mysterion1989]

bleek dus al week van te voren werd misbruik die cve

[coolmos]

Tenzij je een honeypot draait.

[Bas232]

Wat een drama weer allemaal, geen enkele van mijn servers had een probleem of was te hacken. Bovendien waren de meeste Linux servers niet het probleem. Windows zoals altijd, het rare is dat als Windows weer eens gehacked is dat er dan amper tot geen aandacht is. Maar als het opensource is, dan vliegt iedereen erop. Apparmor hield dit gewoon tegen in Linux. Wat een drama om niks. Lijkt wel of de meeste IT'ers gewoon niet weten met wat ze bezig zijn. Ik wordt zo moe van al dit gezeur, stop eens met alle poorten voor IEDEREEN open te zetten. Stop eens met Windows shit te gebruiken. Denk na voor je alles op internet knalt. Wordt zo moe van domheid.

[sir_huxley]

Als ik je betoog lees weet ik even niet waar ik moet beginnen. Ik laat het hier dan ook maar even bij in de hoop dat je je post nog een keer terugleest en tot beter inzicht komt.

[Chocoball]

Tweakers was gisteren opeens offline en stond er 1 regel dat Tweakers offline was. Later kwam het uitgebreide We zijn even offline verklaring, waarvoor dank.

[MrMarcie]

Was het allemaal echt nodig? Dat vraag ik me, als halve leek, af.