Php2shell: wat het kost en waar je op let bij je hosting

Wat is php2shell precies?

Php2shell is een set van twee kritieke kwetsbaarheden in PHP, CVE-2026-109618 en CVE-2026-109619, met een ernst van 9,2 op 10.

Het gevolg is dat een aanvaller code kan uitvoeren op de server. Omdat het lek in PHP zelf zit, geldt het voor elke site die op PHP draait, WordPress ook. Het ligt dus niet aan een plugin die je kunt uitzetten.

Op onze pagina over [php2shell](/en/the-php-vulnerability-what-netslim-does/) lees je stap voor stap wat wij doen. Een Nederlandstalige uitleg staat op de pagina over het [PHP-lek](/php-lek/).

Wat kost php2shell je?

De kosten van php2shell zijn in de meeste gevallen geen factuur voor een update, maar de schade en tijd als het misgaat.

Denk aan een gehackte site die offline gaat, uren werk om op te schonen, een site die in Google als onveilig wordt gemarkeerd en klanten die je kwijtraakt. Wij noemen hier bewust geen bedragen, want die hangen af van je site en wat erop draait.

Bij ons zit de update in je hosting. Er is geen losse rekening voor het installeren van de PHP-update op onze servers.

Waar let je op bij je hosting?

Let op wie het nieuws volgt, wie de update installeert en hoe snel dat gaat.

Beheer je zelf een server, dan moet je dit allemaal zelf doen:

• het nieuws volgen
• klaarstaan om te updaten op het moment dat de update uitkomt
• zelf uitzoeken welke PHP-versies je draait
• oude versies zelf verhuizen en testen

Twijfel je? Dan is je site offline halen de veilige keuze. Bij Netslim volgen wij PHP en CERT-EU, de cyberdienst van de Europese Unie. Zo wisten we een dag van tevoren dat de update eraan kwam.

Wat als je site op een oude PHP-versie draait?

PHP 8.1 en ouder krijgt geen updates meer, dus daar is geen patch voor beschikbaar.

Draait jouw site op zo'n versie, dan nemen wij contact met je op en helpen we met de overstap naar een veilige versie. Je kunt ook zelf wisselen met één klik in je account.

De valkuil is dat een oude versie jarenlang goed lijkt te werken. Het probleem merk je pas op het moment dat het misgaat. Controleer daarom bij elke host welke PHP-versie je site draait.

Is de update genoeg?

De update is het echte antwoord, de rest beschermt je in de uren eromheen.

Op onze servers werken het besturingssysteem, PHP en serverbeheer automatisch bij. Zodra de nieuwe PHP-versies klaar zijn voor onze servers, gaan ze live, en je site hoeft daarvoor niet offline.

Daarbovenop draait een extra filter op Netslim Edge. Dat blokkeert bekende aanvallen op dit lek voordat ze je server bereiken en scant grote uploads bij binnenkomst. Zie ook hoe je [een DDoS-aanval herkent](/ddos-aanval-website-herkennen/) als je verkeer opeens vreemd gedrag toont.

Wat als er toch iets misgaat?

Als er toch iets misgaat, zetten we je site terug naar een versie van vóór het probleem.

We maken elke dag een back-up. Dat is de laatste sluis: je hoeft dan niet te hopen dat een schoonmaak alles heeft gevonden. Voor extra zicht op je site kun je kijken naar [een gehackte website](/edge-protect/) en hoe wij dat signaleren.

Moet ik iets doen als klant van Netslim?

Als klant van Netslim hoef je niets te doen, tenzij je site op PHP 8.1 of ouder draait.

In dat geval bellen wij je. Verder kun je de actuele situatie volgen op onze statuspagina en lees je op de pagina over beveiliging hoe we elke nieuwe kwetsbaarheid aanpakken. Wil je de bescherming zelf uitproberen, kijk dan bij [Security Shield](/bestel-beveiliging/).