Op 21 oktober 2026 maakte het PHP-project twee kritieke kwetsbaarheden bekend en bracht het gecorrigeerde versies uit. Eén enkel gemanipuleerd verzoek van een aanvaller die niet is ingelogd, kan genoeg zijn om code op de server uit te voeren. In de pers heet het tweetal inmiddels "PHP2Shell".

PHP draait onder WordPress en onder een groot deel van de websites van kleine bedrijven, en ook onder veel nieuwsbrieftools die bedrijven zelf hosten. Hieronder leest u wat dit betekent als u een nieuwsbrief verstuurt, en wat u vandaag moet controleren.

Wat is PHP2Shell (CVE-2026-109618 en CVE-2026-109619)?

Volgens het officiële beveiligingsbericht van PHP:
Kwetsbaarheden CVE-2026-109618 (geheugenbeschadiging bij de afhandeling van een geheugentekort) en CVE-2026-109619 (interne status die blijft bestaan nadat het geheugen is vrijgegeven)
Ernst Beide 9,2 (kritiek) volgens CVSS v4.0
Gevolg Code op afstand uitvoeren zonder inloggen, met de rechten van de gebruiker van de webserver
Wie is getroffen Elke PHP-installatie die webverzoeken verwerkt. Apache met mod_php wordt genoemd als het grootste risico
Gecorrigeerde versies PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (uitgebracht op 21 oktober)
Oudere versies PHP 8.1 en ouder worden officieel niet meer ondersteund; voor 7.4, 8.0 en 8.1 zijn minimale patches gepubliceerd

PHP benadrukt dat updaten de enige volledige oplossing is. Aanpassingen in de configuratie verkleinen alleen het risico.

Volgens beveiligingsonderzoekers en persberichten waren er al pogingen tot misbruik vóór de openbare bekendmaking, en er circuleert exploitcode.

Het Nationaal Cyber Security Centrum (NCSC) heeft een beveiligingsadvies over deze kwetsbaarheden gepubliceerd (NCSC-2026-0443) en adviseert de updates met spoed te installeren.

Wat PHP2Shell betekent voor uw nieuwsbrief

Wie een nieuwsbrief verstuurt, loopt twee verschillende risico's.

1. Uw website wordt overgenomen

Als aanvallers uw WordPress-site of een andere PHP-site overnemen, kunnen ze nepberichten of links naar kwaadaardige sites in uw nieuws- en blogberichten zetten.

Maakt u daarna een nieuwsbrief van die berichten, dan stuurt uw eigen nieuwsbrief lezers naar een gevaarlijke site. U verliest het vertrouwen van uw lezers, en door spamklachten komen uw volgende e-mails slechter aan.

2. Uw verzendsysteem wordt overgenomen

Gebruikt u een nieuwsbrieftool in PHP of een nieuwsbriefplug-in voor WordPress op uw eigen server, dan kunnen aanvallers:

  • Uw abonneelijst stelen (e-mailadressen en namen)
  • Via uw server op grote schaal spam of phishing versturen
  • De reputatie van uw domein beschadigen, waardoor zelfs uw gewone e-mails niet meer in de inbox aankomen

Als u WordPress of een nieuwsbriefplug-in gebruikt

WordPress en de bijbehorende nieuwsbriefplug-ins draaien op PHP. WordPress en uw plug-ins bijwerken lost deze kwetsbaarheid niet op als PHP zelf verouderd is. Controleer uw PHP-versie in het klantenpaneel van uw hostingprovider of in diens mededelingen.

Checklist voor vandaag

Wat u doet Hoe u het controleert
PHP-versie controleren In het klantenpaneel of de mededelingen van uw hostingprovider. Is het geen van de gecorrigeerde versies hierboven, vraag uw provider of beheerder dan om een update
Als updaten niet meteen kan Bespreek de tijdelijke instellingen van PHP met uw beheerder (die verkleinen het risico, maar nemen het niet weg). Kan het systeem niet snel worden beveiligd, haal het dan tijdelijk offline
WordPress en plug-ins bijwerken Geen oplossing voor dit lek, maar het sluit andere ingangen af
Recente inhoud van de site nalopen Let op berichten of links die u niet herkent
Verzendvolumes in de gaten houden Let op verzendingen die u niet heeft ingepland of plotselinge pieken
Spamklachten en bounces in de gaten houden Een plotselinge stijging kan op een inbraak wijzen
DMARC-rapporten lezen Controleer of onbekende servers e-mail versturen namens uw domein

Als uw abonneelijst mogelijk is gelekt

De e-mailadressen en namen van uw abonnees zijn persoonsgegevens volgens de AVG. Bij een datalek geldt:

  • Melden bij de Autoriteit Persoonsgegevens (artikel 33 AVG): zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat u het lek heeft ontdekt, tenzij het datalek waarschijnlijk geen risico oplevert voor de betrokkenen. Heeft u bij een complex incident, zoals ransomware of phishing, nog niet alle informatie, doe dan toch binnen 72 uur een eerste melding en vul die later aan. U meldt via het meldformulier op de website van de AP.
  • Betrokkenen informeren (artikel 34 AVG): als het datalek waarschijnlijk een hoog risico voor hun rechten en vrijheden oplevert.

Ook een datalek dat u niet hoeft te melden, moet u intern registreren. Vermoedt u dat gegevens van abonnees zijn gelekt, laat u dan adviseren, bijvoorbeeld door uw functionaris gegevensbescherming.

Het verzendsysteem niet zelf hosten

Draait uw nieuwsbriefsysteem op uw eigen server, dan is het patchen van lekken als dit uw taak. Bij een gehoste nieuwsbriefdienst is de aanbieder verantwoordelijk voor het up-to-date houden van de verzendinfrastructuur.

Newsletter Ready gebruikt geen PHP en is daarom niet getroffen door deze kwetsbaarheid. De website waar uw nieuwsbrief zijn inhoud vandaan haalt, moet u wel zelf veilig houden. Controleer dus ook daar de PHP-versie.

Bronnen

Dit artikel bevat algemene informatie en is geen juridisch advies.