In oktober kregen veel websites te maken met PHP2Shell: twee ernstige fouten in PHP zelf, de taal waarin WordPress draait. Ook op mijn hosting heeft dat sites geraakt. Hier lees je wat er aan de hand was, wat ik heb gedaan en wat je zelf kunt nakijken.
Wat er aan de hand is
PHP2Shell is de bijnaam voor twee kwetsbaarheden in PHP (CVE-2026-109618 en CVE-2026-109619, beide met de hoogste ernstscore). Het probleem zit dus niet in WordPress of in een plugin, maar in de onderliggende PHP-versie van de server. Een aanvaller kan daardoor eigen code laten draaien, en laat vaak een zogenoemde webshell achter: een verborgen bestand waarmee hij later opnieuw binnenkomt.
De fouten zijn hersteld in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Draait jouw site op een oudere versie, dan is die kwetsbaar. Een WordPress-update helpt hier dus niet; de PHP-versie moet omhoog.
Wat ik heb gedaan
Bij een aantal sites op mijn hosting zag ik sporen van indringers. Ik heb op 21 en 22 oktober PHP bijgewerkt naar versie 8.3.36 en daarna alle besmette sites doorgelopen. Verdachte bestanden zijn uit de sites gehaald en apart bewaard, de gebruikers en spam zijn nagekeken, en alle sites staan weer schoon en online.
Ik zeg het liever eerlijk: dit had ik graag voorkomen. Elk account op mijn hosting staat afgeschermd van de andere, zodat een inbraak bij één site niet automatisch naar de rest springt. Dat heeft hier verdere schade beperkt.
Wat je zelf kunt nakijken
1. Welke PHP-versie draait je site? Kijk bij je hosting of in WordPress onder Extra, Sitediagnose. Zit je onder de versies hierboven, vraag je hoster om bij te werken.
2. Zijn er gebruikers die je niet kent? Controleer onder Gebruikers of er beheerders of auteurs tussen staan die je niet zelf hebt aangemaakt.
3. Staan er plugins of bestanden die je niet herkent? Vooral bestanden met vreemde namen in de map wp-content zijn een signaal.
4. Staat er rare inhoud op je site of in Google? Casino- of medicijnspam in je zoekresultaten betekent bijna altijd dat er iets is binnengekomen.
Wanneer je beter hulp vraagt
Zie je iets verdachts, haal dan niet zelf bestanden weg zonder eerst een back-up te maken. Zo raak je het spoor kwijt en blijft de achterdeur soms nog open. Ik kijk rustig met je mee: eerst een diagnose van €50, daarna spreken we af wat nodig is. Neem gerust contact op.