Op 21 oktober 2026 heeft het PHP-project fixes uitgebracht voor twee kritieke kwetsbaarheden in PHP zelf. Beide hebben een CVSS 9.2-score, en de onderzoeken die ze ontdekten noemen ze php2shell. Het probleem zit niet in PrestaShop of in een module, maar omdat elke PrestaShop-webshop op PHP draait, treft dit vrijwel elke winkel. Hieronder leest u wat er aan de hand is, welke PHP-versies zijn gepatcht en wat u vandaag nog moet doen.
Wat is het probleem?
De twee kwetsbaarheden bevinden zich in de PHP-runtime, de laag die draait vóór de eigen code van PrestaShop. Volgens de aankondiging kan een aanvaller deze gebruiken om PHP-processen te laten crashen, gevoelige gegevens te lezen of, in het ergste geval, code uit te voeren op uw server zonder in te loggen.
- CVE-2026-109618: wanneer PHP geen geheugen meer heeft, kunnen verzoekgegevens half geïnitialiseerd achterblijven, en de opschonen daarna behandelt die onvolledige gegevens als geldig.
- CVE-2026-109619: de interne staat van een verzoek kan blijven bestaan nadat het geheugen ervan is vrijgegeven, zodat een later verzoek op dezelfde PHP-worker die verouderde staat kan gebruiken.
Elke PHP-installatie die webverzoeken afhandelt loopt risico: PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het risico is het grootst bij mod_php.
Waarom een PrestaShop-update niet helpt
Het bijwerken van PrestaShop of uw modules lost dit niet op. Bescherming binnen de applicatie kan een aanval niet stoppen die plaatsvindt voordat de applicatiecode wordt uitgevoerd. De enige echte oplossing is een bijgewerkte PHP-versie op uw server.
Welke PHP-versies zijn gepatcht?
| PHP-branch | Opgeloste versie |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Voor PHP 7.4, 8.0 en 8.1 heeft het PHP-project minimale backports gepubliceerd. Let op dat Linux-distributies de fix soms toepassen zonder het versienummer te wijzigen, waardoor een versie die ouder lijkt toch gepatcht kan zijn. Daarom kunt u het best om bevestiging vragen bij uw hostingprovider in plaats af te gaan op het nummer alleen.
Wat u nu moet doen
1. Controleer uw PHP-versie
Ga in het PrestaShop-backoffice naar Geavanceerde parameters > Informatie. Daar ziet u op welke PHP-versie uw winkel draait.
2. Vraag uw host om schriftelijke bevestiging
Neem contact op met uw hostingprovider en vraag of de fix voor CVE-2026-109618 en CVE-2026-109619 op uw server is toegepast. Vraag om het antwoord op schrift.
3. Beheert u uw eigen server?
- Installeer de bijgewerkte PHP-pakketten van uw distributie of de officiële PHP-releases.
- Start elk PHP-proces opnieuw op: PHP-FPM-pools, Apache, LiteSpeed en FrankenPHP-workers. Een update die wel is geïnstalleerd maar niet geladen beschermt u niet.
- Op de dag van de release rad het PHP-project af om te wachten op de door vrijwilligers onderhouden
rpms.remirepo.net-repository en adviseerde distributiepakketten of het bouwen vanuit broncode. - Gebruikt u Docker? Bouw uw images opnieuw op basis van de bijgewerkte base image en rol deze opnieuw uit.
4. Nog steeds op PHP 8.1 of ouder?
Vraag uw host of uw PHP-versie is gepatcht. Het upgraden van PrestaShop naar een versie die nieuwere PHP ondersteunt is een afzonderlijke klus voor de lange termijn, geen noodreparatie. Ter planning: PrestaShop 9 ondersteunt PHP 8.1 tot en met 8.5, en PHP 8.2 bereikt het einde van zijn levensduur op 31 december 2026. PrestaShop 1.7- en 8.x-winkels draaien meestal nog op PHP 7.x of 8.1.
Tijdelijke maatregelen als u nog niet kunt updaten
Deze maatregelen zijn bedoeld voor technische teams. Test ze eerst op een staging-omgeving; ze verlagen het risico maar vervangen de PHP-update niet.
Voor CVE-2026-109618:
- Verlaag
post_max_size: het advies stelt8Mvoor als uw winkel geen uploads accepteert en32Mals dat wel zo is. Houdupload_max_filesizeonder die waarde. - Handhaaf daarnaast limieten voor de verzoekgrootte in uw webserver of reverse proxy.
Voor CVE-2026-109619:
- Stel
session.upload_progress.enabled=0in inphp.ini, de PHP-FPM-pool of de serverconfiguratie en start alle workers opnieuw op.ini_set()of.user.iniis niet voldoende. - Stel op PHP 8.5 ook
fatal_error_backtraces=0in en herstart de workers.
Het verbergen van fouten met error_reporting, display_errors of @ helpt niet. De volledige lijst met maatregelen staat in het officiële PHP-beveiligingsadvies.
Helpt een web application firewall?
Cloudflare heeft speciale WAF-regels uitgerold voor php2shell, die sinds 21 oktober standaard actief zijn. Controleer op een betaald abonnement of de beheerde regelset op block staat. Houd er rekening mee dat een WAF alleen verkeer beschermt dat erdoorheen loopt: zorg ervoor dat uw server alleen webverkeer accepteert van uw WAF-provider. Een WAF is een extra laag, geen vervanging voor de PHP-update.
Hulp nodig?
Weet u niet zeker of uw server is gepatcht, of draait u nog op een oude PHP-versie? Wij controleren uw PHP-versie en configuratie, stellen de juiste vragen aan uw host en helpen u bij het plannen van de stap naar een ondersteunde PHP- en PrestaShop-versie. Lees meer over onze beveiligingsdienst, plan een upgrade of stel ons een vraag.
Bron: "Critical PHP security updates: what PrestaShop users need to know" op build.prestashop-project.org (21 oktober 2026), en de PHP-beveiligingsadviezen voor CVE-2026-109618 en CVE-2026-109619.
