Misbruik van PHP2Shell-lek gemeld, DigiD en andere sites weer online

In dit artikel:

Cybersecuritybedrijven melden de eerste actieve aanvalspogingen tegen de twee kwetsbaarheden die samen PHP2Shell worden genoemd (CVE-2026-109618 en CVE-2026-109619). Door deze lekken kunnen aanvallers zonder in te loggen eigen code uitvoeren op kwetsbare PHP-systemen, met mogelijke gevolgen voor websites, applicaties en gegevens.

PHP bracht vandaag beveiligingsupdates uit. Omdat PHP op miljoenen websites en webapplicaties wordt gebruikt, werden beheerders dringend opgeroepen de patches snel te installeren. Cloudflare zag aanvalsverkeer tegen klanten; Hadrian, Patchstack en watchTowr spreken van grootschalige of actieve uitbuiting. Het is nog niet duidelijk of aanvallers succesvol waren. Volgens Previdian lukte het bij de waargenomen pogingen niet om PHP-code uit te voeren of bestanden te uploaden.

Uit voorzorg gingen meerdere Nederlandse overheidssites tijdelijk offline, waaronder DigiD, MijnOverheid, Overheid.nl, TweedeKamer.nl en de Belastingdienst. Een groot deel daarvan is inmiddels weer bereikbaar. De politie zegt op de hoogte te zijn en de situatie nauwlettend te volgen; Politie.nl bleef online.