CISA nam op 26 oktober 2026 CVE-2026-109618 en CVE-2026-109619, samen bekend als PHP2Shell, op in de Known Exploited Vulnerabilities-catalogus (KEV). De waarschuwing adviseert organisaties alle PHP-installaties op te sporen, systemen die vanaf internet bereikbaar zijn voorrang te geven en verdacht gedrag van PHP-processen te monitoren. CISA voegde beide kwetsbaarheden toe aan KEV in de bijgewerkte waarschuwing.
Wat CISA’s waarschuwing van beheerders vraagt
De inventarisatie moet ook PHP omvatten dat is ingebouwd in andere software. CISA adviseert internetgerichte systemen voorrang te geven en te letten op PHP-workers die shells starten of hulpmiddelen downloaden. Op 23 oktober voegde CISA een Sigma-detectieregel toe aan de waarschuwing.
CISA adviseert getroffen systemen offline te halen als ze niet meteen kunnen worden bijgewerkt of als ze op PHP 8.1 of ouder draaien. Het PHP-project biedt geen updates meer voor PHP 8.1 en oudere versies, al publiceerde het minimale broncodebackports voor PHP 7.4, 8.0 en 8.1. Distributies en leveranciers van langetermijnondersteuning kunnen eigen bijgewerkte pakketten aanbieden; hun patchstatus hangt af van de leverancier.
Een webapplicatiefirewall (WAF) kan volgens CISA enige bescherming bieden zolang een update uitblijft. Het PHP-project waarschuwt dat tijdelijke maatregelen de blootstelling aan specifieke aanvalsroutes beperken, maar een installatie niet veilig maken. De vaste versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, gepubliceerd op 21 oktober. In NeoTeo’s eerdere overzicht van de PHP-updates staan die versies per branch.
Wat de Wiz-cijfers meten
Wiz meldde na de openbare bekendmaking een daling van ongeveer 67% in het dagelijkse aantal unieke, internetblootgestelde machines dat kwetsbaar was. Het aantal organisaties met minstens één blootgestelde kwetsbare installatie daalde in Wiz’ telemetrie met ongeveer 47,9%. De derde meting betreft een aandeel: machines met PHP 7.3 of ouder vormden eerst 8,3% en vijf dagen later 5,7% van de waargenomen groep blootgestelde kwetsbare machines.
| Maatstaf | Gerapporteerde verandering | Wat werd geteld en wanneer |
| Unieke kwetsbare machines | Ongeveer 67% daling | Dagelijkse telling van internetblootgestelde machines, na de openbare bekendmaking |
| Organisaties met een blootgestelde kwetsbare installatie | Ongeveer 47,9% daling | Organisaties met minstens één dergelijke installatie |
| Aandeel machines met PHP 7.3 of ouder | Van 8,3% naar 5,7% | Aandeel binnen de waargenomen groep blootgestelde kwetsbare machines, over vijf dagen |
Wiz zegt dat veranderingen in scanbereik en in de waargenomen populatie invloed kunnen hebben op de trends. De cijfers isoleren niet het aandeel van patchen, upgraden, buiten gebruik stellen of internettoegang beperken. Het zijn metingen van Wiz’ waargenomen blootstelling, geen wereldwijde telling.
Wat de KEV-vermelding zegt over misbruik
Wiz zag in de pogingen die het zelf vastlegde geen volledige exploitketen. Het verwees daarnaast naar publiek bewijs van succesvolle uitvoering op een honeypot met één worker en Apache mod_php. Dat resultaat geldt voor die specifieke configuratie. CISA’s opname in KEV en Wiz’ waarnemingen beschrijven dus verschillende aanwijzingen over misbruik; het honeypotresultaat zegt niet hoe betrouwbaar exploitatie in andere omgevingen is. De metingen en hun beperkingen staan in Wiz’ rapport over PHP2Shell.
Een update verhelpt de kwetsbaarheid in de runtime, maar bepaalt niet of een systeem vóór de update al was binnengedrongen. CISA adviseert daarom verdacht gedrag te monitoren, waaronder PHP-processen die shells starten of hulpmiddelen downloaden.
