PHP2Shell · CVE-2026-109618 · CVE-2026-109619
Welke PHP-versie meldt uw website?
Op 21 oktober 2026 heeft het PHP-project 2 kritieke kwetsbaarheden gedicht die CISA PHP2Shell noemt (CVE-2026-109618 en CVE-2026-109619, CVSS 9.2). Ze maken het mogelijk om zonder inloggen code op een server uit te voeren. Voer een domein in en wij laten u zien welke PHP-versie uw website in de headers meldt en of die overeenkomt met de fix.
Zo leest u het resultaat
- Een oud nummer bewijst geen kwetsbaarheid. Veel hostingproviders passen de fix toe en behouden het oorspronkelijke versienummer.
- Een actueel nummer is een goed teken, geen bewijs. De header kan worden gewijzigd door de serverconfiguratie of door een apparaat ervoor.
- Als de website geen versie meldt, weten wij niets. Dat geldt voor de meeste websites: van de 8.171 websites van Slowaakse bedrijven die op 31 oktober 2026 reageerden, meldden er slechts 332 een PHP-versie in de header (4,1%).
Welke versies de fix bevatten
| Versietak | Opgelost vanaf |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Het PHP-project onderhoudt PHP 8.1 en ouder niet meer. Sommige Linux-distributies en leveranciers van uitgebreide ondersteuning voegen de fix zelf toe, dus vraag het hen na.
Wat u moet doen
- Werk PHP bij naar 8.2.35, 8.3.36, 8.4.27, 8.5.12 of nieuwer, of naar het gecorrigeerde pakket van uw leverancier.
- Vraag wie de dienst beheert welke PHP-versie wordt gebruikt en of die de fixes voor CVE-2026-109618 en CVE-2026-109619 bevat.
- Maak de versie niet langer bekend:
expose_php = Offinphp.iniverwijdert de X-Powered-By-header.