Gratis tools · Beveiliging
PHP2Shell-check
Op 21 oktober 2026 zijn twee ernstige lekken in PHP bekendgemaakt en meteen opgelost. Draait jouw website op PHP (bijvoorbeeld WordPress, WooCommerce of Laravel)? Check in twee stappen of je server al is bijgewerkt: eerst een snelle check van buitenaf, daarna desgewenst de exacte versie met ons checkbestand.
Stap 1 · Snelle check · indicatie
Wat laat je website van buitenaf zien?
Vul een adres in. We vragen één keer de homepage op, net als een browser, en kijken in de headers en de HTML of er PHP draait en of de server zijn versie laat zien.
Dit is een indicatie. De meeste servers verbergen hun PHP-versie (goed zo), en een versienummer in de headers kan van een proxy komen. Zie je "versie verborgen" of twijfel je? Ga dan door naar stap 2.
Stap 2 · Geverifieerde check · exacte versie
Zeker weten welke PHP-versie je site gebruikt
Met ons kleine checkbestand op je site lezen we de exacte PHP-versie uit, plus het servertype (bijvoorbeeld PHP-FPM) en je Linux-distributie. Het bestand toont verder niets: geen phpinfo, geen paden, geen wachtwoorden, geen shell-commando's. Elk bestand heeft een eigen token, zodat we zien dat het antwoord echt van jouw bestand komt.
1
Download
Download php2shell-check.php met de knop hieronder. Je krijgt een bestand met je eigen token.
2
Uploaden
Zet het via FTP of je hostingpaneel in de hoofdmap van je site (bv. public_html).
3
Controleer
Vul je website in en klik op Controleer. Wij vragen alleen jouwsite.nl/php2shell-check.php op.
4
Weer verwijderen
Haal het bestand direct weer weg en klik op 'Controleer of het bestand weg is'.
Klein tekstbestand, open en leesbaar. Bekijk het gerust eerst in een teksteditor.
3. Controleer je site
Je ziet de exacte versie, of die de fix bevat (veilig, kwetsbaar of verouderde tak), het servertype en je distributie.
Wat we niet kunnen zien: backports van je distributie of hoster. Debian, Ubuntu, Red Hat en AlmaLinux bouwen fixes vaak in zonder het PHP-nummer te verhogen. Staat er een distributiepakket, dan verwijzen we je naar de beveiligingspagina van die distributie. Zekerheid daarover krijg je alleen met toegang tot je server.
Liever niets laten ophalen? Open het bestand dan zelf in je browser (jouwsite.nl/php2shell-check.php): het toont dezelfde uitkomst.
Tip: laat je server zijn PHP-versie niet zien. Zet expose_php = Off in php.ini (of vraag je hoster dit te doen). Dat is geen oplossing voor PHP2Shell, maar maakt het aanvallers lastiger.
Wat is er aan de hand?
PHP2Shell bestaat uit twee lekken: CVE-2026-109618 en CVE-2026-109619, met een ernstscore van 9.2 (CVSS v4). In gewone taal: als PHP op een ongelukkig moment zonder geheugen komt te zitten, of als er oude gegevens van een vorig bezoek blijven hangen, kan een aanvaller in bepaalde gevallen eigen code op je server laten draaien.
De kwetsbare code zit al in PHP sinds versie 5.4.0 en geldt voor zowel mod_php als PHP-FPM. Volgens het PHP-team lost geen enkele instelling het volledig op: updaten is de oplossing.
Veilige versies
PHP 8.1 en ouder krijgt geen officiële support meer. Voor 7.4, 8.0 en 8.1 zijn alleen minimale bron-backports uitgebracht. Distributies (Debian, Ubuntu, Red Hat, AlmaLinux) leveren eigen backports met hun eigen versienummering. Upgraden naar 8.2 of nieuwer blijft het advies.
Hoe groot is het risico? Sansec meldde op 22 oktober dat de openbare exploits niet werken tegen een standaard PHP-installatie, waardoor massale uitbuiting minder waarschijnlijk is. Amazon zag wel al op 17 oktober een aanvalspoging. Kortom: geen paniek, wel updaten.
Bronnen: Sansec · Help Net Security · php.net
Veelgestelde vragen
Wat is PHP2Shell?
PHP2Shell is de naam voor twee ernstige lekken in PHP, bekendgemaakt en gepatcht op 21 oktober 2026: CVE-2026-109618 en CVE-2026-109619 (CVSS 9.2). In bepaalde situaties kan een aanvaller daarmee eigen code op de server uitvoeren. Het geldt voor mod_php én PHP-FPM.
Welke PHP-versies zijn veilig voor PHP2Shell?
PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12 (en nieuwer) bevatten de fix. PHP 8.1 en ouder krijgt geen officiële support meer; voor 7.4, 8.0 en 8.1 bracht het PHP-team alleen minimale bron-backports uit. Hosters en distributies kunnen eigen backports leveren, dus bij oudere versies zegt het versienummer niet alles.
Kan ik PHP2Shell oplossen met een instelling?
Nee. Volgens het PHP-team lost geen enkele configuratiewijziging het probleem volledig op. Updaten naar een gepatchte PHP-versie is de oplossing. Het verbergen van je PHP-versie (expose_php = Off) is wel verstandig, maar is geen fix.
Hoe werkt de geverifieerde check?
Je downloadt een klein PHP-bestand met een eigen, uniek token en zet het in de hoofdmap van je site. Onze server vraagt dan alleen dat ene adres op (jouwsite.nl/php2shell-check.php) en krijgt de exacte PHP-versie, het servertype (SAPI) en de naam van je Linux-distributie terug. Aan het token zien we dat het antwoord echt van jouw bestand komt. Daarna verwijder je het bestand weer; met één klik controleer je of het weg is.
Mijn server draait Ubuntu, Debian of AlmaLinux. Zegt het versienummer dan genoeg?
Niet altijd. Distributies als Debian, Ubuntu, Red Hat en AlmaLinux bouwen beveiligingsfixes vaak in hun eigen PHP-pakketten in zonder het PHP-nummer te verhogen (backports). Een lager nummer kan dus toch gepatcht zijn. Wij laten zien welke versie draait en verwijzen naar de beveiligingspagina van je distributie; of de fix in jouw pakket zit, zie je alleen daar of met toegang tot je server.
Hoe groot is het risico op dit moment?
Beveiligingsbedrijf Sansec meldde op 22 oktober dat de openbare exploits niet werken tegen een standaard PHP-installatie, waardoor massale uitbuiting minder waarschijnlijk is. Amazon zag wel al op 17 oktober een aanvalspoging. Updaten blijft dus belangrijk.
Hulp nodig bij updaten?
Weet je niet hoe je PHP bijwerkt, of draait je site op een oude versie die niet zomaar omhoog kan? Wij kijken vrijblijvend met je mee.
Neem contact op