Op 21 oktober 2026 bracht PHP een noodupdate uit voor PHP2Shell: twee kritieke lekken in de taal waarop elke Magento-webshop draait. Wij waren die ochtend al aan de slag, ruim voordat de update er was. Hieronder lees je wat er aan de hand was, hoe het verliep en wat we samen met onze klanten hebben gedaan.
Wat is PHP2Shell?
PHP is de programmeertaal onder een groot deel van het web, ook onder elke Magento-webshop. In PHP zelf bleken twee ernstige fouten te zitten. Daarmee kon een aanvaller van buitenaf een server overnemen, zonder wachtwoord en zonder in te loggen.
Vergelijk het met een fout in het slot dat in alle voordeuren zit, niet in je eigen huis. Hoe goed je webshop ook gebouwd is: draaide hij op een kwetsbare PHP-versie, dan liep hij risico. Onderzoekers toonden aan dat de aanval werkte tegen Magento en tien andere veelgebruikte PHP-applicaties.
Wat het extra urgent maakte: de details lekten twee dagen voor de geplande bekendmaking uit. Aanvallers kregen daardoor een voorsprong, en de tijd om te reageren werd kort.
Tijdlijn
Alle tijden in Nederlandse tijd (CEST).
Wanneer | Wat |
|---|---|
2024 | Bij een beveiligingsaudit van PHP vallen de eerste signalen op. Een oplossing blijft liggen. |
11 augustus 2026 | Securitybedrijf Calif en OpenAI melden onafhankelijk van elkaar een werkende aanval. PHP maakt de fix topprioriteit. |
24 augustus 2026 | Wiz meldt aanvullende aanvalsroutes. |
17 oktober 2026 | Amazon ziet in zijn lokservers een eerste aanvalspoging, vier dagen voor de bekendmaking. |
20 oktober, ca. 17:00 | De registratienummers van de lekken verschijnen op fora en social media. |
20 oktober, 21:30 | PHP kondigt de update aan en vervroegt de release naar 21 oktober 16:00. |
20 oktober, ca. 22:00 | Een onderzoeksvideo van de aanval lekt uit. Aanvallers gaan aan de slag. |
21 oktober, 09:12 | Epartment start het crisisoverleg: inventarisatie van alle omgevingen, plan per server. |
21 oktober, 09:43 | Cloudflare meldt de eerste aanvallen in het wild. |
21 oktober, 11:30 | Epartment informeert alle klanten per mail over het risico en de aanpak. Websites en shops gaan down. |
21 oktober, 16:00 | PHP publiceert de gepatchte versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. |
21 oktober, 18:30 | Epartment heeft de gepatchte PHP-builds beschikbaar en start de uitrol. |
21 oktober, 22:00 | Epartment heeft bijna alle servers gepatcht en weer volledig online. |
Wat wij deden
We wachtten niet op de patch. Op 21 oktober om 09:12, bijna zeven uur voor de release, zaten we om tafel met een duidelijke volgorde.
Inventariseren. We scanden alle omgevingen en legden per server vast welke PHP-versie er draait en wat er nodig is.
Afsluiten wat niet op tijd te patchen was. Verouderde test- en stagingomgevingen hebben we tijdelijk dichtgezet. Liever even offline dan open voor een aanvaller.
Voorbereiden. Test- en acceptatieomgevingen gingen waar mogelijk alvast naar een ondersteunde PHP-versie. Build- en deploy-instellingen pasten we aan, zodat de uitrol direct kon starten.
Patchen. Zodra de update er was, bouwden en testten we de nieuwe PHP-versies en rolden ze server voor server uit.
Extra bescherming. PHP-versies ouder dan 8.2 krijgen geen officiële update meer. Daar namen we aanvullende maatregelen.
Monitoren. We houden actief in de gaten of er verdacht gedrag optreedt en passen de bescherming aan als de aanval verandert.
Samen met onze klanten
Snelheid zat niet alleen in de techniek. Dezelfde ochtend kregen al onze klanten een heldere mail: wat er speelt, wat wij doen en wat ze kunnen verwachten. Geen paniek, wel duidelijkheid. We hadden geen aanwijzingen dat shops getroffen waren, en we handelden voor iedereen.
Elke klant heeft een vaste Product Owner. Die was het directe aanspreekpunt voor vragen en voor besluiten die niet konden wachten. Klanten met een oudere PHP-versie kregen dezelfde dag concrete opties voorgelegd: tijdelijk extra bescherming, of direct door naar een ondersteunde versie.
Dat korte lijntje maakte het verschil. Waar een besluit nodig was, viel het snel. Dank aan onze klanten voor het vertrouwen en de vlotte reacties.
Wat dit ons leert
Een zero-day voorkom je niet met goed onderhoud. Ook wie alles netjes bijwerkt, kan geraakt worden door een lek waarvoor nog geen patch bestaat. Bij PHP2Shell waren er zelfs al aanvalspogingen vóór de bekendmaking.
Wat je wél in de hand hebt, is hoe snel je reageert. En na de acute fase begint het echte werk: welke systemen waren kwetsbaar, wat is nog niet bijgewerkt, welke oudere onderdelen kunnen niet mee, en welke bedrijfsprocessen raakt een noodzakelijke upgrade?
AI verhoogt dat tempo. Het PHP-securityteam publiceerde sinds 1 juli al 15 kwetsbaarheden. Onderzoekers vinden lekken sneller, aanvallers ook. Daarom hebben we onze SLA aangescherpt. Met een patchmandaat voeren we beveiligingspatches en noodmaatregelen direct door. Webshops blijven op een van de drie laatste Magento-versies, zodat een patch altijd toepasbaar is. En monitoring en extra beveiligingslagen horen standaard bij de afspraak.
Zo hoeft bij het volgende lek niemand eerst te overleggen voordat we kunnen handelen. Wil je weten wat dit voor jouw webshop betekent? Neem contact op met je Product Owner.
