PHP2Shell: NCSC verlaagt risico, derde lek zonder patch

De week waarin MijnOverheid, DigiD en de Tweede Kamer hun sites preventief uitzetten, eindigt met een rustiger geluid. Het Nationaal Cyber Security Centrum schrijft in een update van vrijdag 23 oktober 15:45 uur dat verder onderzoek laat zien dat het misbruiken van de twee PHP-lekken "ingewikkeld is en de kans op grootschalig misbruik kleiner dan eerder werd ingeschat". Tegelijk maakte de PHP Foundation een derde kwetsbaarheid bekend, die geen noodrelease krijgt.

Wat het NCSC nu zegt

Een dag eerder onderzocht het NCSC nog de eerste signalen van succesvol misbruik. Die formulering is bijgesteld: er is "één melding bekend van mogelijk misbruik in het buitenland", maar het is niet bevestigd dat die aanval daadwerkelijk is gelukt. Ook schrijft de dienst dat de nieuwste PHP-updates "vooralsnog goed lijken te werken".

Het advies verandert niet: installeer de updates zo snel mogelijk op websites, applicaties en netwerkapparatuur. Beheer je je eigen omgeving niet, dan verwijst het NCSC je naar je hostingpartij of IT-leverancier.

Dat beeld komt overeen met wat de PHP Foundation zelf meldt. Executive director Elizabeth Barron zegt tegen The Register dat er geen bewijs is van geslaagd misbruik vóór de bekendmaking, en ook niet van misbruik op gepatchte versies. Mandiant-CTO Charles Carmakal schreef vrijdag op LinkedIn dat veel rondgaande proof-of-concepts "vibe-coded" zijn en helemaal geen code kunnen uitvoeren. Zijn team valideerde wel exploits die werken tegen standaardinstallaties van mod_php, maar niet tegen PHP-FPM. Carmakal houdt de dreiging "viable and very serious".

Een derde CVE, en geen spoedpatch

De PHP Foundation heeft CVE-2026-115560 gereserveerd voor een derde RCE-kwetsbaarheid naast de twee die samen PHP2Shell vormen. Een volledige advisory en de fix komen mee met de volgende reguliere bugfixrelease.

De reden staat in de informationele advisory op php.net: het lek vraagt een hoogst onwaarschijnlijke combinatie van configuratie en applicatiecode. Een applicatie moet session.serialize_handler in de configuratie op php_binary of php_serialize hebben staan, die vervolgens tijdens runtime met ini_set() omzetten naar php vóór de aanroep van session_start(), én session upload progress aan hebben. Barron: die opzet verwacht de foundation "not to occur in practical use of PHP".

Wat je nu kunt doen

• Werk bij naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 als dat nog niet is gebeurd. Linux-distributies en LTS-leveranciers kregen de patches vooraf, dus kijk ook naar je eigen pakketbron.
• Zet session.upload_progress.enabled=0 tot de volgende reguliere bugfixrelease. Dat is het advies van het PHP-securityteam voor CVE-2026-115560.
• Had je deze instelling al toegepast als mitigatie uit advisory GHSA-6wmf-4rv5-p3rp bij CVE-2026-109619 van 21 oktober? Laat hem dan staan; volgens php.net is verder niets nodig.
• Zet je applicatie de serialize handler nooit tijdens runtime om, dan kun je session upload progress volgens php.net aan laten.