tel je voor: je woont in een mooi huis met een nieuw dak, goede sloten en een strak ingerichte keuken. Dan hoor je dat er een scheur is ontdekt in de fundering waar duizenden huizen op rusten. Niet door iets wat jij hebt gedaan en je weet nog niet of jouw huis er schade van heeft. Maar wel iets wat je zo snel mogelijk wilt laten controleren en dichten.
Zo ongeveer voelde 21 oktober voor talloze webshops. Er bleek een kwetsbaarheid te zitten in PHP, de programmeertaal waar een groot deel van het internet op draait. Hieronder lees je wat dat betekent voor jouw webshop, wat wij hebben gedaan en hoe we nu verdergaan.
Wat is PHP2Shell en wat is er gebeurd?
Op 21 oktober 2026 heeft de PHP Foundation spoedupdates uitgebracht voor twee kritieke kwetsbaarheden in PHP zelf: CVE-2026-109618 en CVE-2026-109619, samen bekend als 'PHP2Shell'. Beide kregen een ernstscore van 9,2 op 10. Het gaat om kwetsbaarheden waarmee een aanvaller, zonder inloggegevens, code kan uitvoeren op een webserver. Omdat PHP de basis vormt van een groot deel van het internet, raakt dit veel websites tegelijk, ook websites waarvan de eigen code veilig is. Bronnen: Computable, The Hacker News.
Normaal worden zulke kwetsbaarheden pas openbaar gemaakt als de patch klaarstaat. Hier lekte de informatie op 20 oktober uit, waarna PHP de geplande release van 22 oktober naar 21 oktober vervroegde. De beveiligingsupdates zijn inmiddels beschikbaar: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Oudere versies, vanaf PHP 5.4, lopen risico. Voor PHP 8.1 en ouder verschijnen geen reguliere updates meer.
Dit betekent niet dat websites automatisch gehackt zijn. Het betekent wel dat de periode tussen het bekendmaken van het lek en het doorvoeren van de patch zo kort mogelijk moet zijn. Cloudflare meldde op 21 oktober dat er al vroege aanvalspogingen zichtbaar waren. Daarom namen hostingpartijen en bureaus direct voorzorgsmaatregelen.
Is mijn webshop kwetsbaar voor het PHP-lek?
Of jouw webshop risico loopt, hangt af van drie dingen: draait je platform op PHP, welke PHP-versie staat er op de server en is die al bijgewerkt. Het lek zit in PHP zelf, niet in de webshopsoftware of in een plugin. Je kunt dus alle plugins en thema's up-to-date hebben en toch kwetsbaar zijn, zolang de PHP-versie op de server nog niet is gepatcht.
De inrichting van de server speelt ook mee. Volgens The Hacker News loopt een omgeving met Apache en mod_php het grootste risico, omdat één verzoek, zonder inloggegevens, de aanval kan starten voordat de code van de webshop wordt uitgevoerd. PHP-FPM is minder blootgesteld. Een firewall voor webapplicaties, zoals die van Cloudflare, kan bekende aanvalsroutes tijdelijk blokkeren, maar is volgens Cloudflare zelf een noodmaatregel en geen volledige oplossing.
Daarnaast geldt: een kwetsbaarheid is niet hetzelfde als een inbraak. Dat benadrukt ook Computable. Maar omdat de kwetsbaarheid zonder inloggegevens te misbruiken is en er al aanvalspogingen zijn gemeld, is de enige volledige oplossing het doorvoeren van de PHP-update. Daarom hebben we de PHP-updates zo snel en zorgvuldig mogelijk doorgevoerd.
Wat wij hebben gedaan om webshops te beschermen
Zodra het lek bekend werd, zijn we direct aan de slag gegaan. Als voorzorgsmaatregel hebben wij en onze hostingpartner Hypernode de webshops van onze opdrachtgevers die mogelijk risico liepen tijdelijk offline gehaald, totdat de beveiligingsupdates van PHP waren doorgevoerd. Dat was een bewuste keuze: even geen bereikbare webshop is beter dan een webshop die kwetsbaar online staat. Inmiddels zijn de meeste webshops van onze opdrachtgevers weer live.
Welke webshopplatformen lopen risico door het PHP-lek?
Alle platformen die op PHP draaien zijn in principe blootgesteld aan dit lek, ongeacht de webshopsoftware. Het verschil zit in de serverinrichting en in hoe snel de PHP-update wordt doorgevoerd. Het overzicht hieronder is gebaseerd op Techzine en Mass Market Retailers, die verwijzen naar onderzoek van Sansec en Wiz. Extra aandacht verdienen omgevingen met PHP 8.1 of ouder. Daarvoor verschijnen geen reguliere updates meer van PHP zelf, dus is er een backport van de leverancier of een upgrade nodig. PHP 8.2 bereikt bovendien op 31 december 2026 het einde van de ondersteuning.
Shopify en Shopware: andere risico's, dezelfde les
Voor zover bekend raakt het PHP-lek Shopify niet, maar dat maakt Shopify niet risicoloos. Het risico zit daar op een andere plek: bij apps van derden. Veel van die apps hebben een eigen backend en die kan ook op PHP draaien. Een specifieke app kan dus wel kwetsbaar zijn voor dit lek, ook al is Shopify dat zelf niet. Dat het risico in de app-laag reëel is, bleek begin oktober. Toen werden twee van dit soort apps gekaapt (Hulk Product Options en Selleasy), waardoor bezoekers op sommige webshops werden doorgestuurd naar valse afrekenpagina's. Op LinkedIn wordt dit ook wel de 'appocalypse' genoemd. Shopify verwijderde de schadelijke code en haalde de apps direct uit de Shopify App Store. Inmiddels zijn de apps weer veilig te gebruiken.
Shopify ziet die ontwikkeling dus zelf ook. Volgens het platform nemen aanvallen binnen het app-ecosysteem toe nu kunstmatige intelligentie steeds beter wordt in het opsporen van kwetsbaarheden. Het belangrijkste is de basis op orde te houden. Denk aan het regelmatig updaten van apps, werken met toegangstokens die na korte tijd verlopen, tweestapsverificatie op elk account en toegang intrekken die niet meer nodig is. Daarmee wordt het risico al aanzienlijk verkleind.
Voor beide platformen geldt dus dezelfde les. Bij Shopware en Magento zit het risico vaak in de infrastructuur en in plugins, bij Shopify in de app-laag. Een webshop is zo veilig als de schakels eromheen en geen enkele partij kan elk risico uitsluiten. Wat wel het verschil maakt, is hoe goed die schakels worden bewaakt: bewust kiezen welke apps en plugins je gebruikt, versies bijhouden en snel schakelen als er toch iets gebeurt, zoals bij het PHP-lek. Daar zit de waarde van een goede partner, voor Shopify en Shopware in gelijke mate.
Hoe gaat het nu verder na het PHP-lek?
Nu vrijwel alle webshops weer online zijn, verschuift de focus naar waakzaamheid. We blijven de omgevingen scherp monitoren, controleren ze op mogelijke sporen van misbruik en nemen waar nodig extra maatregelen. Daarbij werken we nauw samen met onze hostingpartners.
Voor Shopify-webshops is er een eigen controlelijst. Kijk welke apps zijn geïnstalleerd en of de twee genoemde apps daarbij zitten, controleer het thema op onbekende scripts en doe een testbestelling in een incognitovenster om te zien of je afrekenpagina op je eigen domein of shopify.com blijft. Controleer of de toestemmingen van elke app passen bij wat de app daadwerkelijk doet en verwijder apps die je niet meer gebruikt, ook als ze zijn overgebleven uit eerdere projecten of proefperiodes. Vraag je partner ook welke van je apps een eigen backend hebben en of die zijn bijgewerkt.
Kijk verder dan het blote oog
Een goed huis herken je niet aan de keuken, maar aan wat eronder zit. Niet voor niets is een bouwtechnische keuring zo belangrijk: dan kijk je verder dan wat je met het blote oog ziet.
Voor een webshop geldt hetzelfde.
De scheur in de fundering is inmiddels bijna overal gedicht en de focus verschuift nu naar waakzaamheid. Want een webshop is zo veilig als alles waar hij op rust, van PHP tot de apps en plugins eromheen. Een goede partner houdt dat hele plaatje in de gaten en handelt adequaat wanneer dat nodig is.
Heb je vragen over jouw webshop of de veiligheid ervan? Neem gerust contact met ons op.
Bronnen
- Computable: Kritiek PHP-lek zet miljoenen websites onder druk
- The Hacker News: PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws
- Techzine: Why PHP2Shell affects every company
- Mass Market Retailers: Critical PHP flaw puts retail websites and e-commerce systems on alert
- Cloudflare: Protections against the PHP2Shell vulnerability
- Proactivo Commerce: Was Shopify hacked? The October 2026 checkout hijack
- iTnews: Shopify tells Australian store to stay shut after hijacked extensions divert shoppers