PHP2Shell: NCSC ziet eerste signalen van misbruik

Het Nationaal Cyber Security Centrum onderzoekt de eerste signalen dat de twee kritieke PHP-kwetsbaarheden daadwerkelijk met succes zijn misbruikt. Dat staat in een update van donderdag 22 oktober 16:00 uur op het alert van het NCSC. Een dag eerder had de dienst nog geen misbruik vastgesteld.

Van 'nog geen misbruik' naar 'eerste signalen'

Het NCSC schrijft dat de situatie snel kan verergeren, omdat er proof-of-concepts bekend zijn die aantonen dat de kwetsbaarheden misbruikt kunnen worden. De dienst noemt daarbij expliciet een versnellende factor: "Door gebruik van artificiele intelligentie (AI) kunnen deze kwetsbaarheden mogelijk nog sneller worden misbruikt."

Het advies blijft hetzelfde, maar met meer nadruk: wacht niet op signalen van misbruik en installeer de updates direct. Systemen die nog kwetsbaar zijn, moeten volgens het NCSC uit voorzorg offline blijven tot ze zijn bijgewerkt.

Een exploit die ASLR omzeilt

Technisch is er donderdag ook iets veranderd. Beveiligingsbedrijf VulnCheck heeft volgens The Register een exploit ontwikkeld voor CVE-2026-109618 die werkt op x86-64-systemen met ASLR ingeschakeld en met PHP's aanbevolen productie-instelling display_errors=off. ASLR verspreidt geheugenadressen willekeurig en was tot nu toe de grootste rem op misbruik in de praktijk.

Spencer McIntyre, director of exploit development bij VulnCheck, zegt tegen The Register dat zijn team op GitHub "honderden" PoC-repository's ziet, maar dat "very few contain legitimate, working exploits" — juist door ASLR. Zijn conclusie: "Organizations running vulnerable versions of PHP should prioritize patching rather than assume existing memory protections or configuration changes will stop an attack." Over de aanvallers zegt hij: "Adversaries are clearly spending time (and tokens) on this bug." De exploit zelf deelt VulnCheck alleen met klanten van zijn Initial Access Intelligence-dienst. Op ARM64 werkt de techniek volgens het bedrijf wel, maar komt het nog niet tot code-uitvoering.

Niet alleen websites, ook je NAS

PHP zit ook in appliances en netwerkapparatuur, waar je de runtime niet zelf bijwerkt. QNAP noemt in advisory QSA-26-18 onder meer de ingebouwde PHP-runtime van QTS 6.1.0 en 5.2.11 en eerder, QuTS hero h6.1.0, h6.0.x en h5.2.11 en eerder, QuTScloud c5.2.9 en eerder, QuMagie 2.10.1 en eerder, Note Station 3 3.9.14 en eerder en QVR Surveillance 3.0.3 en eerder op ARM32-modellen als kwetsbaar. Gerepareerde versies zijn er volgens het advisory nog niet; die worden later aangekondigd.

Ook Nextcloud Server staat in de inventarisatie van het NCSC als kwetsbaar wanneer het op een getroffen PHP-versie draait. De oplossing zit daar in de PHP-runtime, niet in Nextcloud zelf.

Wat je nu kunt doen

• Werk bij naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Gebruik je een distributie of LTS-versie, neem dan het pakket van je leverancier. Voor PHP 7.4, 8.0 en 8.1 heeft het PHP-team minimale broncodepatches uitgebracht, hoewel die reeksen niet meer regulier worden ondersteund.
• Begin bij de systemen die vanaf internet bereikbaar zijn. Het PHP-project noemt het risico het hoogst bij mod_php, omdat een ongeauthenticeerd request daar misbruik kan uitlokken voordat je applicatiecode draait.
• Controleer apparaten en images met een ingebouwde PHP afzonderlijk. Het NCSC houdt op github.com/NCSC-NL/php2shell een lijst bij van producten met een PHP-afhankelijkheid en hun status; die werd op 23 oktober 00:48 nog bijgewerkt.
• Kun je niet direct patchen, dan zijn er tijdelijke maatregelen, zoals het uitschakelen van session.upload_progress en het herstarten van workers. Het PHP-team benadrukt dat die slechts specifieke aanvalspaden beperken en geen volledige oplossing zijn.
• Het NCSC heeft een beslisboom gepubliceerd die je per situatie door de keuzes loodst. Die staat als pdf onder het alert.