NCSC meldt mogelijk misbruik van PHP-lekken

Het NCSC heeft één melding ontvangen over mogelijk misbruik van de recente PHP-lekken in het buitenland, zonder bevestiging dat de aanval slaagde; grootschalige exploitatie lijkt volgens het centrum minder waarschijnlijk dan eerder gedacht.

Voor een websitebeheerder verandert de inschatting van de aanvalsgolf, niet de staat van een afzonderlijke server. Een ongepatchte PHP-runtime blijft kwetsbaar en het NCSC-bericht zegt niet welke Nederlandse sites al zijn bijgewerkt. De concrete vraag blijft wie de PHP-versie beheert en welke versie nu op elke site, applicatie of apparaat draait.

Van geen signaal naar één melding

Op 21 oktober meldde het NCSC nog geen actief misbruik van de twee kritieke PHP-lekken. De waarschuwing kwam voordat de patches beschikbaar waren. De update van 23 oktober noemt één melding van mogelijk misbruik in het buitenland. Het is niet bevestigd dat de aanval daar is geslaagd. Het NCSC zegt ook dat het uitbuiten van de kwetsbaarheden ingewikkelder is dan eerder gedacht en dat de kans op grootschalig misbruik daarom lager lijkt. Het centrum meldt dat de nieuwste PHP-updates vooralsnog goed lijken te werken.

De twee PHP-fouten die code-uitvoering op afstand zonder inloggen mogelijk maakten, kregen op 21 oktober fixes voor vier PHP-versies. De oorspronkelijke waarschuwing draaide om de ernst van de fouten. De nieuwe update trekt die kritieke beoordeling niet in.

Cloudflare telt pogingen, geen bevestigde inbraken

Cloudflare-CEO Matthew Prince schreef op 22 oktober dat het netwerk duizenden exploitpogingen zag vóór de bekendmaking, oplopend tot miljoenen erna. Hij noemde duizenden pogingen in de tien uur vóór de publicatie, tienduizenden in de eerste 45 minuten erna en honderdduizenden binnen twee uur. De telling liep later verder op tot miljoenen.

De Cloudflare-meting van miljoenen PHP2Shell-pogingen na de bekendmaking telt verzoeken op het netwerk van één aanbieder. De X-post geeft geen aantal geslaagde inbraken of getroffen servers. Een WAF kan aanvalspatronen detecteren en filteren. De openbare teller vermeldt niet welke verzoeken een kwetsbare installatie bereikten of tot toegang leidden. Cloudflare zegt dat de WAF-regel alleen bekende pogingen afdekt bij sites met de standaardnaam voor het PHP-uploadvoortgangsveld. Een aangepaste veldnaam valt buiten die regel. Het bedrijf noemt de WAF een extra beschermingslaag en blijft patchen adviseren. De NCSC-melding en de Cloudflare-teller meten verschillende dingen en zijn niet rechtstreeks met elkaar te vergelijken.

De patchschatting geldt voor één database

MindYourPass-directeur Merijn de Jonge zei tegen NRC dat de patchstatus “op z’n best halverwege” is. MindYourPass heeft een database met ongeveer een half miljoen websites die vanuit Nederland worden gebruikt door bedrijven, overheden en particulieren. NRC meldt dat 38 procent daarvan op PHP draait en ongeveer de helft daarvan al de bijgewerkte versie gebruikt.

Dat cijfer beschrijft de uitkomst van MindYourPass’ eigen scan, niet de landelijke patchgraad. De publicatie noemt geen landelijk steekproefkader of representatieve steekproef. Bovendien telt de database websites, geen organisaties of afzonderlijke PHP-installaties. Eén organisatie kan meerdere websites beheren, terwijl een leverancier PHP in een product kan meeleveren zonder dat een klant die runtime zelf ziet.

De Jonge’s uitspraak is daarmee een schatting voor de eigen database, geen patchpercentage voor Nederlandse PHP-systemen als geheel. Binnen die scan is een deel van de PHP-sites nog niet bijgewerkt.

NCSC houdt patchadvies aan ondanks lagere risicoschatting

Het NCSC houdt vast aan het advies om de nieuwste PHP-beveiligingsupdates snel te installeren. PHP 8.1 en ouder krijgt geen reguliere updates van het PHP-project, al kunnen Linux-distributies en LTS-leveranciers fixes terugplaatsen. Wie de server niet zelf beheert, moet de hostingpartij of softwareleverancier vragen welke PHP-componenten in gebruik zijn en welke bijgewerkte versie daadwerkelijk draait. Een WordPress- of applicatie-update bevestigt niet automatisch dat ook de onderliggende PHP-runtime is bijgewerkt.

De PHP-pagina vermeldt de projectfixes voor de oorspronkelijke fouten in versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35, plus de afzonderlijke CVE-2026-115560 die in een volgende reguliere bugfixrelease wordt hersteld. De nieuwe kwetsbaarheid speelt alleen bij een ongebruikelijke configuratie. Een applicatie zet session.serialize_handler eerst op php_binary of php_serialize. Daarna wijzigt ze de waarde tijdens runtime naar php vóór session_start(), terwijl sessie-uploadvoortgang ingeschakeld blijft. PHP noemt code-uitvoering daardoor onwaarschijnlijk en adviseert tot de fix session.upload_progress.enabled=0. Dit nieuwe probleem maakt de twee eerdere patches niet ongedaan en verandert het NCSC-advies voor die kritieke fouten niet.

De lagere inschatting zegt iets over de kans op een brede aanvalsgolf. De status van een specifieke website volgt uit de PHP-versie die draait en de bevestiging van de beheerder. Cloudflare meet aanvalspogingen, MindYourPass scant een eigen verzameling websites en het NCSC ontving één melding van mogelijk misbruik. Per organisatie blijft de concrete vraag welke PHP-versie op elke site of applicatie draait en of de hoster of softwareleverancier de update heeft bevestigd.