CVE-2026-109618 / CVE-2026-109619
Is je website vatbaar voor php2shell?
Twee kritieke lekken in PHP zelf, in de verwerking van uploadverzoeken. Deze check kijkt van buitenaf of je site PHP draait en of de tijdelijke blokkade van multipart-verzoeken werkt, via Cloudflare én direct op je server.
Wat test deze check?
We sturen één gewone pagina-aanvraag en drie kleine formulierverzoeken met alleen het veld probe=1: een gewone POST, een multipart-POST en een multipart-PUT. Er zit geen bestand en geen aanvalscode in. Weigert je server de multipart-verzoeken maar de gewone POST niet, dan staat de tijdelijke blokkade aan.
Waarom met én zonder Cloudflare?
Een blokkade bij Cloudflare helpt alleen als niemand je server rechtstreeks kan bereiken. Aanvallers sturen verzoeken vaak direct naar het IP-adres van de server. Vul daarom het origin-IP in: dan testen we dezelfde site, maar verbinden we rechtstreeks met jouw server.
Wat moet ik doen?
- Update PHP zodra de gefixte versie beschikbaar is (21 oktober, 16:00 uur). Dat is de enige echte oplossing.
- Blokkeer tot die tijd multipart-verzoeken in nginx, Apache of IIS, en zet
session.upload_progress.enabled = Off. - Draai je PHP 8.1 of ouder? Dan komt er geen patch. Upgrade of haal de site offline.