Gratis check
Kijk hoe je site ervoor staat
Vul een domeinnaam in. We kijken alleen naar wat een gewone browser ook ziet: de DNS-gegevens, de homepage en zo nodig één andere openbare pagina. Daaruit leiden we af of er PHP draait en welke versie eventueel zichtbaar is, welk CMS de site gebruikt en of de zichtbare versie daarvan verouderd lijkt, of het beveiligingscertificaat geldig is, of de site een HSTS-kop zet, en of de site via Cloudflare loopt.
Maximaal 10 controles per 10 minuten en 50 per dag. Lees ook wat de check wel en niet doet.
Nu actueel, 21-10-2026
PHP2Shell: twee kritieke lekken in PHP
- Twee lekken: CVE-2026-109618 en CVE-2026-109619, samen PHP2Shell genoemd. Ernst: CVSS 9,2 (kritiek).
- Gevolg: een aanvaller kan code op de server uitvoeren (remote code execution), zonder in te loggen.
- Wie: alle PHP-versies vanaf 5.4. Dus ook WordPress, Joomla, Drupal, Magento, Laravel en de meeste webwinkels.
- Reparatie van php.net (21-10, 16:00): 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor 8.1 en ouder brengt php.net officieel niets uit.
- Ubuntu repareerde zonder het versienummer te verhogen. Voorbeeld voor Ubuntu 24.04: php8.3 8.3.6-0ubuntu0.24.04.13. Aan het nummer 8.3.6 alleen zie je dus niet of de reparatie erin zit.
- Sury (deb.sury.org, ppa:ondrej/php) bracht op 21-10 om 16:45 ook builds uit voor oude versies: 5.6.40-104, 7.0.33-92, 7.2.34-66, 7.3.33-35, 7.4.33-31 en 8.0.30-25, plus 8.2.35, 8.3.36 en 8.4.27.
- Kun je nog niet updaten? Zie de tijdelijke mitigatie, en test je server met de zelftest voor beheerders.
Bronnen: Sansec, PHP2Shell en CERT-EU, advisory 2026-018.
Wat PHP-wacht doet
- Elke week: we doen de check opnieuw, op dezelfde manier: de homepage en zo nodig één andere openbare pagina.
- Je krijgt mail als de uitkomst verandert, als je PHP-versie geen beveiligingsupdates meer krijgt, of als er een nieuw ernstig lek in PHP bekend wordt. Anders hoor je niets.
- Gratis en zonder reclame. Aanmelden doe je onder de uitkomst van de check. Stoppen kan altijd met één klik.
- Eerlijk gezegd: bij veel sites is de PHP-versie van buitenaf niet te zien. Dan kan PHP-wacht weinig melden, behalve een nieuw ernstig lek dat voor alle PHP-sites geldt. Wil je meer zekerheid, laat dan je server van binnenuit controleren met de zelftest hieronder of door Stantinel CMScan.
Voor beheerders
Zelftest voor serverbeheerders
Beheer je zelf een Linux-server met PHP? Dit script zoekt de geïnstalleerde PHP-versies op, kijkt in de changelog van het pakket of de reparatie erin zit (dat is op Debian, Ubuntu en Sury de betrouwbaarste toets) en vergelijkt anders het versienummer met de gerepareerde versies. Per versie zie je GEREPAREERD, NIET GEREPAREERD of ONBEKEND. Daarnaast laat het zien of de tijdelijke mitigatie aan staat.
Het script leest alleen, verandert niets en verstuurt niets. Root is niet nodig.
Eerst lezen, dan draaien (aanbevolen)
curl -fsSL -o php2shell-check.sh https://stantinel.nl/php2shell/check.sh sha256sum php2shell-check.sh less php2shell-check.sh bash php2shell-check.sh
Zelftestscript versie 1.0 (21-10-2026). Controlesom (SHA-256) van check.sh: 341225a4f306f3953bbbdc576551d4c7e4e62995eeafa33d5d3f239b712469dc. Geeft sha256sum een andere waarde, draai het script dan niet en laat het ons weten.
In één regel
Sneller, maar dan zie je het script niet voordat het draait.
curl -fsSL https://stantinel.nl/php2shell/check.sh | bash
Je kunt het script ook in de browser bekijken. PHP in Docker-containers en instellingen per site (.user.ini, .htaccess, panelen zoals Plesk of cPanel) toetst het niet.
Tijdelijke mitigatie
Kun je nog niet updaten? Volgens Sansec helpt het om deze twee instellingen te zetten, in de php.ini van PHP-FPM en Apache (bijvoorbeeld in een eigen bestand in conf.d):
session.upload_progress.enabled = 0 session.use_strict_mode = 1
Herstart daarna PHP-FPM of Apache. Dit is een noodmaatregel en geen vervanging van de update. Installeer de gerepareerde versie zodra die er is, en herstart PHP-FPM ook dan: anders draait de oude code nog in het geheugen.
Laat Stannet het voor je nakijken
Twijfel je, of wil je dat iemand het voor je regelt? Stannet controleert je server, installeert de reparatie of zet de mitigatie aan, en vertelt je in gewone taal hoe het ervoor staat.
Wat de check en PHP-wacht wel en niet doen
Alleen kijken, niet aanvallen. De snelcheck doet wat een gewone browser ook doet. Onze server vraagt de DNS-gegevens van het domein op en haalt één keer de homepage op, met hooguit drie doorverwijzingen. Laat de homepage niet zien welke PHP-versie draait, dan vragen we daarna hooguit één andere openbare pagina op, bijvoorbeeld de inlogpagina van het CMS of een adres dat niet bestaat, omdat servers daar soms wel de PHP-versie tonen. Verder vragen we geen pagina's op. Die verzoeken zijn in het logboek van de site herkenbaar als "Stantinel-PHP2Shell-check", met een link naar deze pagina. We doen geen aanvalsverzoeken, gebruiken geen exploits, proberen geen wachtwoorden en scannen geen poorten. Wordt hetzelfde domein binnen vijf minuten nog eens gecontroleerd, dan krijg je het vorige antwoord en benaderen we de site niet opnieuw.
Een inschatting, geen oordeel. We kijken alleen naar wat de server zelf naar buiten laat zien. Een site kan PHP gebruiken zonder dat je dat ziet, en een zichtbaar versienummer zegt niet altijd of de reparatie is geïnstalleerd. De check stelt dus niet vast of een site veilig of kwetsbaar is. Laat dat altijd nagaan door je hoster of beheerder.
Geen garantie. De snelcheck, PHP-wacht en het zelftestscript zijn gratis en worden aangeboden zoals ze zijn. Een gemiste of late melding van PHP-wacht is geen tekortkoming: het is een extra seintje, geen beveiliging. We doen ons best om ze juist en actueel te houden, maar we kunnen niet garanderen dat de uitkomst klopt of volledig is. Stannet is niet aansprakelijk voor schade door het gebruik ervan of door beslissingen die je op basis van de uitkomst neemt, behalve als die schade komt door opzet of grove nalatigheid van Stannet. Ben je consument, dan houd je altijd de rechten die de wet je geeft.
Gebruik. Gebruik de check voor je eigen website of voor een site waarvoor je verantwoordelijk bent, bijvoorbeeld als beheerder of namens je organisatie. Gebruik de check en de uitkomst niet om sites van anderen in kaart te brengen of aan te vallen. Bij misbruik kunnen we de toegang blokkeren. Denk je dat de site van een ander geraakt is? Laat het dan de eigenaar of de hoster weten.
Gegevens. Per controle bewaren we het domein, het tijdstip en de uitkomst. Na 90 dagen wissen we de domeinnamen en houden we alleen tellingen over. We gebruiken deze gegevens om misbruik op te sporen en de check te verbeteren, en niet om eigenaren van sites te benaderen. Je IP-adres slaan we bij de controle niet op. Om het aantal controles per bezoeker te begrenzen, maken we van je IP-adres een versleutelde code met een geheime sleutel die we elke dag vervangen. Die code wissen we na uiterlijk 24 uur; daarna kan ook Stannet hem niet meer aan jou koppelen. Deze pagina gebruikt geen cookies en geen trackers. Zoals bij elke website houdt de webserver een technisch logboek bij van opgevraagde pagina's, met onder meer je IP-adres en browser. Dat bewaren we 14 dagen voor beveiliging en foutopsporing. We doen dit op grond van ons gerechtvaardigd belang bij een veilige en eerlijk verdeelde gratis dienst. Over je rechten, en hoe je een klacht indient, lees je in onze privacyverklaring. Vragen over privacy: privacy@stannet.nl.
Gegevens bij PHP-wacht. Laat je een domein bewaken, dan bewaren we je e-mailadres, het domein, de tijd van aanmelden en bevestigen, de laatste uitkomst en wanneer we je voor het laatst mailden. We doen dat omdat je er zelf om vraagt (toestemming). Bevestig je niet, dan wissen we alles na 48 uur. Meld je je af, dan wissen we je gegevens meteen. Zonder verlenging wissen we alles na 12 maanden. We sturen de mails via SMTP2GO, een verzenddienst uit Nieuw-Zeeland die volgens afspraak voor ons werkt; voor Nieuw-Zeeland geldt een besluit van de EU dat de bescherming daar voldoende is. SMTP2GO bewaart een verzendlog van 35 dagen. We gebruiken je adres alleen voor PHP-wacht, niet voor reclame. De weekcontrole zelf gebeurt zoals de snelcheck en is in het logboek van de site herkenbaar als "Stantinel-PHP-wacht". Eigenaar van een site en geen controle gewenst? Mail privacy@stannet.nl.
Blijf op de hoogte met PHP-wacht
Wil je weten of de PHP-veiligheid van verandert? Dan doen we eens per week de check opnieuw, op dezelfde manier als deze snelcheck. We mailen je als de uitkomst verandert, bijvoorbeeld als er ineens een PHP-versie zichtbaar wordt of als de PHP-versie geen beveiligingsupdates meer krijgt, en als er een nieuw ernstig lek in PHP bekend wordt. Gratis, zonder reclame. Stoppen kan altijd met één klik.
Je krijgt eerst een mail om je aanmelding te bevestigen. Bevestig je niet, dan wissen we je adres na 48 uur. We bewaren je e-mailadres, het domein en de laatste uitkomst. Dat doen we zolang je PHP-wacht gebruikt, en hoogstens 12 maanden: daarna vragen we of je door wilt gaan. Je adres gebruiken we nergens anders voor. Mails gaan via onze verzenddienst SMTP2GO, zonder leesbevestiging of klikmeting. Je kunt tot 10 domeinen laten bewaken.
Let op: bij veel sites is de PHP-versie van buitenaf niet te zien. Dan kan PHP-wacht weinig melden, behalve een nieuw ernstig lek dat voor alle PHP-sites geldt.
PHP-wacht is bedoeld voor je eigen site of een site waar je voor zorgt. We controleren niet wie de eigenaar is, want we kijken alleen naar wat iedereen kan zien. Gebruik PHP-wacht niet om sites van anderen in de gaten te houden voor een aanval; bij misbruik blokkeren we. PHP-wacht is een extra seintje, geen beveiliging: we kijken maar eens per week en alleen aan de buitenkant. Meer in onze privacyverklaring.
Ben je eigenaar van een site en wil je niet dat PHP-wacht hem controleert? Mail privacy@stannet.nl. Dan zetten we je domein op een uitsluitlijst en stopt de controle voor iedereen.
Zelftestscript. Het script draait op je eigen server. Het leest alleen gegevens, verandert niets en verstuurt niets. Lees het door voordat je het uitvoert, en vergelijk zo nodig de controlesom (SHA-256) op deze pagina. Het script is een hulpmiddel, geen audit; je gebruikt het op eigen verantwoordelijkheid.
Stand van zaken. De feiten op deze pagina komen uit de genoemde bronnen, stand 21-10-2026. De situatie kan snel veranderen. Kijk bij die bronnen voor de actuele stand.
Aanbieder. Deze check is een dienst van Stantinel, onderdeel van Stannet.iT B.V., Batteryparkstraat 17, Amsterdam. KvK 35030900, btw NL809227320B01. Contact: team@stannet.nl. Privacy: privacy@stannet.nl.