Elke Magento-winkel die we hosten en beheren is bijgewerkt tegen PHP2Shell, de twee kritieke PHP-kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) die op 21 oktober 2026 openbaar werden. Draait uw winkel op onze servers, dan hoeft u niets te doen.
Wat PHP2Shell is
PHP2Shell is een tweetal lekken in PHP zelf, niet in Magento of in een extensie. Ze treffen elke server met PHP 5.4 of nieuwer, onder zowel Apache als PHP-FPM, en laten een aanvaller zonder in te loggen code op de server uitvoeren. Onderzoekers toonden een werkende aanval op een schone installatie van Magento 2.4.9, en de eerste aanvalspogingen werden al gezien voordat de fix uitkwam.
Omdat PHP elk verzoek leest voordat de code van de winkel draait, kunnen de onderhoudsmodus van Magento, beveiligingsextensies en filters op winkelniveau het niet tegenhouden. De echte oplossing is een PHP-update op de server.
Wat we hebben gedaan
Zodra de gerepareerde PHP-versies beschikbaar waren, hebben we PHP bijgewerkt op alle servers die we beheren. Elke winkel met een ondersteunde PHP-versie is nu volledig gepatcht.
Winkels op oudere PHP-versies
PHP levert alleen beveiligingsfixes voor versie 8.2 en nieuwer. Winkels die nog oudere versies gebruiken, zoals PHP 7.2, krijgen geen officiële fix. Op die winkels hebben we een noodoplossing ingezet die de bekende aanvalsroutes blokkeert, maar dat is een tijdelijke maatregel, geen blijvende oplossing.
De enige blijvende oplossing is de winkel naar een ondersteunde PHP-versie overzetten, wat bij oudere winkels meestal ook een Magento-upgrade betekent. Valt uw winkel in deze groep, neem dan contact met ons op om de upgrade te plannen.
Niet bij ons gehost?
- Werk PHP nu bij op elke server, of vraag uw hostingprovider dat vandaag te doen. U kunt dit niet vanuit Magento oplossen.
- Op PHP 8.1 of ouder is er geen officiële fix. Vraag uw provider om een gebackporte fix of een overstap naar een ondersteunde versie.
- Controleer eerst of er niemand binnen is gekomen. Onze gratis WhizzyScan controleert uw bestanden en database op webshells en backdoors:
curl https://shopwhizzy.com/gowiz/external/agent | sh
Alle technische details staan in het PHP2Shell-advies van Sansec.