Toevoegen als voorkeursbron op Google
Op 21 oktober 2026 werden twee ernstige PHP kwetsbaarheden openbaar gemaakt, samen bekend als PHP2Shell. Daarmee zouden aanvallers zonder authenticatie kwaadaardige code kunnen uitvoeren op getroffen servers. Het PHP team bracht diezelfde dag nog spoedbeveiligingsupdates uit om de lekken te dichten.
Host je je WordPress site bij Kinsta, dan is die beschermd tegen PHP2Shell. Onze technische en beveiligingsteams hebben de benodigde PHP beveiligingsupdates op ons hele hostingplatform geïnstalleerd, inclusief live- en testomgevingen. We hebben geen aanwijzingen gevonden voor inbreuken die met deze kwetsbaarheden te maken hebben.
In dit artikel lees je wat PHP2Shell is, hoe we de kwetsbaarheden hebben aangepakt en hoe je de PHP instellingen van je site controleert.
Wat is PHP2Shell?
PHP2Shell is de naam voor twee PHP kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. Beide kregen volgens CVSS 4.0 een ernstscore van 9,2, en gelden daarmee als kritiek.
De kwetsbaarheden zitten in de manier waarop PHP met geheugen omgaat bij het verwerken van verzoeken. Wordt er misbruik van gemaakt, dan kan een aanvaller kwaadaardige code op een server uitvoeren. De websites en data op die server lopen dan mogelijk gevaar.
Omdat WordPress op PHP draait, liepen ook WordPress websites op de getroffen PHP versies risico.
Anders dan bij kwetsbaarheden in een WordPress plugin, een thema of de kern van WordPress zit PHP2Shell in de PHP runtime zelf. WordPress of je plugins updaten loste het probleem dus niet op. De PHP software op de server moest worden gepatcht.
Het PHP team bracht op 21 oktober fixes uit voor PHP 8.2, 8.3, 8.4 en 8.5. Voor oudere PHP versies kwamen de beveiligingsfixes van externe maintainers.
Kinsta klanten hoefden hun WordPress installaties niet zelf aan te passen: wij hebben deze updates op hostingniveau afgehandeld.
Hoe Kinsta reageerde op PHP2Shell
Onze technische en beveiligingsteams bereidden zich al op PHP2Shell voor voordat de officiële patches beschikbaar waren. Eerst voegden we beveiligingsmaatregelen toe om de kans op misbruik te verkleinen. Daarna rolden we de gepatchte PHP versies uit zodra ze verschenen.
Exploitpogingen blokkeren met Cloudflare
Een van onze eerste prioriteiten was websites beschermen terwijl we de PHP fixes voorbereidden. Kinsta gebruikt de Web Application Firewall (WAF) van Cloudflare om kwaadaardige verzoeken te herkennen en te blokkeren voordat ze de websites op ons platform bereiken.
Nog vóór de bekendmaking van PHP2Shell had Cloudflare al nieuwe firewallbeveiligingen uitgerold die pogingen tot misbruik van deze kwetsbaarheden herkennen. Ons team heeft die beveiligingen op onze hele hostinginfrastructuur ingeschakeld.
Daardoor hielden onze firewalls pogingen om PHP2Shell te misbruiken al op de edge tegen, zowel in afwachting van de PHP patches als tijdens het uitrollen ervan.
Ook hebben we de PHP configuratie in al onze hostingomgevingen aangescherpt om het risico verder te verkleinen. Tijdens het hele incident hielden we nauw contact met onze partner voor Kwetsbaarheidsbescherming, Patchstack. We deelden informatie over de dreigingen en aanvalspatronen die we zagen.
Deze maatregelen hielpen websites te beschermen terwijl we de updates voorbereidden, maar ze vervingen het patchen van PHP zelf niet.
De PHP beveiligingsupdates toepassen
Zodra het PHP team de fixes had uitgebracht, ging ons technische team aan de slag met het valideren en uitrollen van de gepatchte PHP pakketten op het hele platform.
We hebben beveiligingsupdates uitgerold voor PHP 7.4 tot en met 8.5. De patches voor oudere versies kwamen van Freexian, de leverancier van onze PHP pakketten.
Omdat wij PHP op platformniveau beheren, hoefden klanten de fixes niet zelf te installeren of hun PHP versie handmatig aan te passen. Ons team voerde de updates op de hele hostinginfrastructuur door, terwijl de extra beveiligingen van Cloudflare actief bleven.
Op 22 oktober 2026 om 08:26 UTC hebben we het incident op onze openbare statuspagina als opgelost gemarkeerd. Daarmee bevestigden we dat alle sites beschermd waren en dat de beveiligingsupdates op het hele platform waren uitgerold.
Tijdens het incident hield ons team verdachte activiteit in de gaten, controleerde het sites die doelwit leken handmatig en bleef het steekproefsgewijs hostingomgevingen nalopen op sporen van inbreuken. We hebben geen bewijs gevonden van geslaagde inbreuken via PHP2Shell.
Alle updates die we tijdens het incident publiceerden, lees je terug op onze statuspagina over het PHP beveiligingsincident.
Moeten Kinsta klanten iets doen?
Nee. Host je je WordPress website bij Kinsta, dan hebben we de benodigde beveiligingsupdates al doorgevoerd.
Je hoeft vanwege PHP2Shell je PHP versie niet te wijzigen, geen aparte patch te installeren en je website niet offline te halen. De beveiligingsmaatregelen gelden ook voor je testomgevingen.
Heb je uit voorzorg omgevingen opgeschort terwijl wij de kwetsbaarheden aanpakten? Dan kun je die nu weer activeren. Ook op opgeschorte omgevingen heeft ons team de beveiligingsupdates doorgevoerd.
Houd WordPress, je plugins en thema’s wel up-to-date als onderdeel van je normale websiteonderhoud. Die updates staan los van de PHP2Shell fixes, die we al op hostingniveau hebben doorgevoerd.
Waar vind je updates en hulp
Beheer je WordPress websites voor klanten? Dan kun je ons officiële incidentrapport over het PHP beveiligingslek met hen delen. Daarin staan de updates die we hebben doorgevoerd zodra er gepatchte PHP versies beschikbaar kwamen, en de bevestiging dat het incident is opgelost.
Heb je vragen over een specifieke website of wil je de beveiligingsstatus ervan controleren? Neem dan rechtstreeks via MyKinsta contact op met ons supportteam. We staan 24/7 voor je klaar.
Meer informatie vind je in onze handleiding over contact opnemen met Kinsta Support.
