Raamsdonksveer, 21 oktober 2026
Op 21 oktober 2026 heeft het beveiligingsteam van PHP twee kritieke kwetsbaarheden bekendgemaakt in de kern van de programmeertaal PHP: CVE-2026-109618 en CVE-2026-109619, samen bekend als "PHP2Shell". Omdat PHP de basis vormt van een groot deel van alle websites wereldwijd, waaronder platformen als WordPress, Magento, Drupal en Joomla, is de impact van dit lek groot.
MSG software heeft de situatie direct na bekendwording beoordeeld. Onze websites, webportalen, webshops en online diensten zijn niet gebouwd op PHP en zijn daarmee niet kwetsbaar voor dit lek. Bij klanten met een eigen PHP-omgeving die aan onze software is gekoppeld, hebben wij tijdig maatregelen genomen.
Wat is er aan de hand?
Beide kwetsbaarheden maken zogeheten remote code execution mogelijk. Een aanvaller kan daarmee, zonder inloggegevens, eigen code uitvoeren op een kwetsbare webserver en in het ergste geval de volledige controle over die server overnemen. De lekken hebben een ernstscore van 9,2 op een schaal van 10 en gelden volgens beveiligingsonderzoekers voor vrijwel alle PHP-versies die momenteel in gebruik zijn.
Informatie over de kwetsbaarheden lekte op 20 oktober voortijdig uit, waarna het PHP-team de beveiligingsupdate heeft vervroegd. Europese cyberautoriteiten roepen beheerders op om PHP-installaties direct bij te werken en internetgerichte systemen extra te monitoren. Een technische toelichting staat bij BleepingComputer en bij beveiligingsbedrijf Sansec.
Geen impact op de systemen van MSG software
De websites van MSG software, onze klantportalen, de B2B-webshops die wij voor klanten hosten en onze online diensten zoals MSG ERP Online en MSG WMS Online maken geen gebruik van PHP. Dit lek heeft dan ook geen invloed op de beschikbaarheid of veiligheid van deze omgevingen. Er zijn geen aanvullende acties nodig voor klanten die uitsluitend gebruikmaken van software en portalen die door MSG software worden gehost en beheerd.
Onze eigen websites zijn eerder dit jaar volledig opnieuw gebouwd en draaien sindsdien niet meer op WordPress en PHP.
Klanten met een gekoppelde PHP-omgeving
Een aantal van onze klanten gebruikt naast de MSG software Suite een eigen webshop of website op een PHP-platform, bijvoorbeeld via onze koppeling met WooCommerce of Magento. Deze omgevingen vallen buiten de systemen die MSG software host, maar wij hebben ze wel in beeld. Direct na bekendwording van het lek hebben wij geïnventariseerd bij welke klanten dit speelt en hen geïnformeerd over het risico en de benodigde stappen. Waar MSG software het beheer van deze omgeving verzorgt, zijn de beveiligingsupdates uitgevoerd zodra deze beschikbaar kwamen. Hiermee zijn deze klanten tijdig geholpen.
Wat kunt u zelf controleren?
Heeft uw organisatie een website, webshop of intern systeem dat niet door MSG software wordt beheerd? Controleer dan bij uw hostingpartij of webbouwer of daarin PHP wordt gebruikt en of de beveiligingsupdate van 21 oktober is geïnstalleerd. Dit geldt in het bijzonder voor websites op WordPress, Magento, Drupal of Joomla. Oudere PHP-versies die niet meer worden ondersteund, ontvangen geen update en kunnen het beste worden bijgewerkt of tijdelijk van het internet worden losgekoppeld.
Informatiebeveiliging bij MSG software
MSG software is ISO 27001-gecertificeerd. Dat betekent dat wij een vast proces hebben voor het beoordelen van beveiligingsmeldingen zoals deze en voor het tijdig informeren van klanten. Meer over de verantwoordelijkheid van bedrijven voor de veiligheid in hun keten leest u in ons kennisbankartikel over NIS2 en de Cyberbeveiligingswet. Wij blijven de ontwikkelingen rond dit lek volgen en werken dit bericht bij als daar aanleiding toe is.
Heeft u vragen over dit lek of over de veiligheid van uw omgeving? Neem dan contact op met uw vaste contactpersoon bij MSG software of met onze supportafdeling.
Laatst bijgewerkt: 21 oktober 2026.
