PHP-lek (PHP2Shell): zo zie je welke kanalen risico lopen

Wat is er aan de hand?

Op 20 oktober 2026 zijn twee ernstige lekken in PHP bekend geworden, ook wel PHP2Shell genoemd (CVE-2026-109618 en CVE-2026-109619). PHP is een programmeertaal waarop een groot deel van alle websites draait. Ook bekende systemen als WordPress, Drupal en Joomla gebruiken PHP.

Via de lekken kan een aanvaller mogelijk zonder in te loggen de controle over een server overnemen. PHP heeft op 21 oktober 2026 een update uitgebracht die de lekken oplost. Alleen versies die PHP nog ondersteunt, krijgen die update. Veel organisaties hebben websites uit voorzorg tijdelijk offline gehaald.

Meer achtergrond vind je in het advies van CERT-EU.

Het PHP-overzicht in dip Insights

Wil je weten welke van jullie kanalen mogelijk op PHP draaien? In dip Insights vind je een overzicht onder Insights > PHP. Daar staan de kanalen waarvan dip vermoedt dat ze op PHP draaien, met per kanaal de eigenaar en de leverancier.

Houd bij het gebruik van het overzicht rekening met twee dingen:

• Vrijwel compleet, niet 100%. dip ziet hiermee vrijwel alle gevallen. Toch kunnen we niet uitsluiten dat er een kanaal ontbreekt. Veel servers laten niet zien dat ze PHP gebruiken.
• Geen zicht op de update. dip kan niet zien of een leverancier de update al heeft geïnstalleerd. Dat weet alleen de leverancier.

Meer over hoe dip het gebruikte CMS herkent, lees je in CMS-inzicht in dip.

Wat kun je nu doen?

1. Bekijk het overzicht en controleer of eigenaar en leverancier kloppen.
2. Vraag elke leverancier of en wanneer de update wordt geïnstalleerd. Hieronder staat een voorbeeldmail die je kunt gebruiken.
3. Houd met een tag bij welke kanalen zijn bijgewerkt. Verderop lees je hoe.
4. Deel het overzicht met je informatiebeveiliger (CISO), zodat die weet welke kanalen aandacht nodig hebben.
5. Ken je een kanaal dat op PHP draait maar niet in het overzicht staat? Laat het ons weten via support@dip.online.

Voorbeeldmail aan je leverancier

Je kunt de tekst hieronder kopiëren en aanpassen.

Onderwerp: PHP-lek: graag jullie status voor [naam website]

Beste [naam],

Jullie beheren voor ons [naam website, URL]. Door de PHP-lekken die in het nieuws zijn, willen we graag weten of dit onze website raakt. Kunnen jullie ons laten weten:

• Draait de website op PHP? Zo ja, op welke versie?
• Wordt die versie nog ondersteund door PHP? Zo nee, wat is jullie plan?
• Is de update van 21 oktober al geïnstalleerd? Zo nee, wanneer wel?
• Nemen jullie tot die tijd andere maatregelen?

We ontvangen jullie antwoord graag uiterlijk [datum].

Met vriendelijke groet, [naam, functie, organisatie]

Houd met een tag bij welke kanalen zijn bijgewerkt

Bij veel kanalen duurt het even voordat alle leveranciers hebben gereageerd. Met een tag houd je overzicht over welke kanalen al zijn bijgewerkt en waar je nog op wacht.

1. Maak onder Beheer > Tags een tag aan, bijvoorbeeld "PHP bijgewerkt".
2. Laat een leverancier weten dat de update is geïnstalleerd? Ga dan naar de pagina van het kanaal, klik op Bewerken en vink de tag aan.
3. Op het dashboard krijgt de tag een eigen filterknop. Zo zie je in één klik welke kanalen al zijn bijgewerkt. De kanalen uit het PHP-overzicht zonder tag vragen nog aandacht.

Je kunt ook een export maken op basis van de tag, bijvoorbeeld om de stand van zaken met je informatiebeveiliger te delen. Hoe dat werkt, lees je in Sites exporteren: een export op maat naar Excel.

Meer over het maken en koppelen van tags lees je in Tags: structuur aanbrengen in je landschap.

Tip: heeft de leverancier gereageerd, maar is de update nog niet geïnstalleerd? Leg dat vast in een notitie bij het kanaal, met de datum die de leverancier noemt. Zie Notities: context vastleggen bij kanalen.

Wat doet dip zelf?

Ook dip gebruikt PHP. Alle dip-producten zijn inmiddels bijgewerkt en beschermd tegen deze lekken. Je hoeft hiervoor zelf niets te doen.

Vragen? Neem contact met ons op via support@dip.online.

Wil je weten hoe dit soort overzichten bijdraagt aan informatiebeveiliging in je organisatie? Lees dan Cyberbeveiligingswet: wat betekent dit voor online professionals?