Deze post is ter info wat wij als Weichie voor onze klanten hebben ondernomen.
Eén ding willen we wel verduidelijken: dit was geen WordPress probleem. PHP is de taal onder WordPress, maar ook onder Drupal, Craft, Laravel, Magento en het grootste deel van het web. Het platform is niet van belang, de taal erachter wel.
Op 21 oktober bracht het PHP-project een noodpatch uit voor twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Het probleem heeft de naam PHP2Shell gekregen. Een aanvaller heeft geen account of login nodig om toegang te krijgen tot de website. Elke server die PHP draait, valt binnen het bereik.
Binnen enkele uren na de bekendmaking hiervan meldde CloudFlare al de eerste aanvallen.
Uur per uur
Wij beheren met Weichie meer dan 200 websites voor klanten. Ze zijn niet allemaal even oud en draaien niet allemaal dezelfde PHP-versie. Dat is belangrijk, want de oplossing is een update aan de PHP-kant.
11.58 uur. De eerste waarschuwing komt binnen via onze tooling en we zien de bui alvast hangen die bij een probleem van deze grootorde. Het lek zit in hoe PHP bestands-uploads verwerkt. Het eerste wat we hebben gedaan is onze eigen blokkering op serverniveau uitrollen, een server-regel die multipart-uploads niet langer toelaat. Geen upload, geen exploit. Sites op een oudere PHP-versie, waarvoor niet snel een patch zou komen, krijgen deze beveiliging van ons.
14.00 uur. Het verhaal haalt de pers. De eerste mails en telefoons van klanten komen binnen, terecht, en ze blijven de hele namiddag komen. We stellen een mailinglijst van klanten op, zodat we iedereen in één keer kunnen bereiken als dit ooit opnieuw gebeurt.
14.30 uur. Bericht van het PHP-team dat de mitigaties die online circuleren niet volstaan. We breiden onze upload-lock uit naar elke site in onderhoud die het nodig heeft, en blijven het mee monitoren.
15.40 uur. Onze hostingpartner Combell bevestigt wat we verwachtten: nog geen officiële patch, proof-of-concepts zijn wel in omloop, en mitigaties die op hun hele infrastructuur worden uitgerold. Hierbij beslissen we om enkel de sites met een hoger risicoprofiel bij ons ook helemaal offline te halen.
15.52 uur. Alles onder PHP 8.2 is aan onze kant ondertussen gelockt, offline of uitgeschakeld. Alles op 8.2 en hoger blijf actief, en onze server-sweep toont dat er geen verdachte activiteiten zijn gebeurd.
16.00 uur. De patch staat live op PHP.net. maar we zijn er nog niet, want een release moet nog langs elke leverancier die PHP verpakt voor hij een server bereikt. We beginnen met het rebuilden van de servers die we zelf beheren, en dit zal de komende uren nog lopen.
18.00 uur. Combell rolt ook hun patches uit, inclusief eigen backports voor PHP-versies die PHP zelf al jaren niet meer ondersteunt. We heffen onze eigen upload-locks ook op.
18.30 uur. De offline sites staan terug online. We blijven het verder monitoren.
Op geen enkele site vonden we sporen van misbruik. Enkele klanten hosten elders, en hun providers patchten op hun eigen tempo.
Waarom het onder controle bleef
De eerste reden is Combell. Zij draaien een eigen aangepaste PHP-stack in plaats van een standaardinstallatie, waardoor hun platform veel minder blootgesteld was dan de gemiddelde server. Ze hadden mitigaties klaar voor de patch bestond, patchten de ondersteunde versies dezelfde avond, en bouwden eigen patches voor de oudere versies zonder ondersteuning.
Lees hier meer over de Combell update status
De tweede is dat wij onze monitor er boven hadden en uploads als eerste reflex hebben kunnen uitschakelen. Onze monitor had wel prime-time op groot scherm bij ons.
De meeste sites worden één keer gebouwd en daarna zo gelaten. Ze werken, dus niemand raakt ze aan. Dat was lang een aanvaardbaar risico, omdat een nieuw lek uitbuiten kennis en tijd vroeg. Nu met AI kost dit geen moeite meer, dit is allemaal automatisch en instant globaal uitgerold op miljoenen sites.
We willen al onze klanten bedanken voor hun vertrouwen in Weichie.
