PHP kondigde op 20 oktober een noodbeveiligingsrelease aan voor twee ernstige kwetsbaarheden. De update was oorspronkelijk gepland voor 21 oktober om 14:00 UTC, wat neerkomt op 16:00 Nederlandse tijd.
Volgens rapportages van beveiligingsonderzoekers gaat het vermoedelijk om twee remote code execution-kwetsbaarheden in de PHP-kern. Dat betekent dat een aanvaller in het slechtste geval code op een server kan uitvoeren.
De rapportages noemen de CVE-nummers CVE-2026-109618 en CVE-2026-109619. PHP zelf heeft deze nummers en de exacte technische oorzaak nog niet officieel bevestigd.
De urgentie komt mede doordat informatie over de kwetsbaarheden eerder openbaar zou zijn geworden dan bedoeld. Beveiligingsonderzoekers en CERT-EU meldden dat details vóór de geplande coördinated disclosure online waren gelekt.
Daardoor bestaat het risico dat aanvallers de informatie gebruiken om kwetsbare servers te vinden of aanvallen voor te bereiden. PHP heeft daarom besloten de beveiligingsrelease eerder uit te brengen.
Er is volgens de eerste meldingen nog geen bevestigd misbruik in het wild. Dat maakt de situatie wel degelijk urgent: de technische details zijn mogelijk al beschikbaar voor derden, terwijl veel servers nog niet zijn gepatcht.
Volgens externe rapportages zouden PHP-versies vanaf PHP 5 tot en met PHP 8 mogelijk kwetsbaar zijn. PHP heeft deze lijst echter zelf nog niet officieel bevestigd.
Daarom is het verstandig dat beheerders niet wachten op een definitieve versielijst. Zodra PHP de officiële patches publiceert, moeten alle productie-, staging- en ontwikkelomgevingen worden gecontroleerd en waar nodig worden bijgewerkt.
Remote code execution, vaak afgekort als RCE, is een van de ernstigste typen kwetsbaarheden. Een aanvaller kan hiermee mogelijk code uitvoeren op een server zonder daarvoor fysieke toegang te hebben.
Als dat lukt, kan een aanvaller onder meer bestanden bekijken of wijzigen, extra schadelijke software plaatsen of toegang krijgen tot gegevens. De exacte voorwaarden voor een aanval zijn bij deze PHP-kwetsbaarheden nog niet bekend.
Beheerders kunnen zich nu al voorbereiden op de update. De belangrijkste stap is in kaart brengen waar PHP wordt gebruikt en hoe snel een patch kan worden uitgerold.
Voor WordPress-, Laravel- en andere PHP-gebaseerde websites geldt dat de kwetsbaarheid mogelijk in de PHP-kern zit. Het bijwerken van een CMS of framework is daarom niet automatisch voldoende; ook de PHP-versie zelf moet worden gepatcht.
Op het moment van de eerste waarschuwing was er geen bevestigd misbruik van de kwetsbaarheden bekend. Verschillende beveiligingsorganisaties benadrukken echter dat de situatie snel kan veranderen nu informatie over de fouten eerder openbaar is geworden.
De Australische cyberveiligheidsdienst ACSC heeft organisaties daarom opgeroepen om alert te zijn en zich voor te bereiden op de beveiligingsrelease. Ook CERT-EU wijst op het mogelijke risico van remote code execution.
PHP heeft nog geen officiële details vrijgegeven over de precieze aanvalsvector, het kwetsbare onderdeel of de vereisten voor een succesvolle aanval. Ook is nog onduidelijk of er een tijdelijke workaround bestaat.
Daardoor moeten claims over “makkelijk uit te buiten” voorlopig voorzichtig worden geïnterpreteerd. De hoge CVSS-score en de mogelijke RCE maken het risico groot, maar de exacte exploitatievoorwaarden worden pas duidelijk wanneer PHP de volledige beveiligingsadviezen publiceert.
Dit artikel is gebaseerd op de officiële aankondiging van het PHP-securityteam, evenals rapportages van CERT-EU, BleepingComputer, Huntress en beveiligingsonderzoekers over de gelekte details van de kwetsbaarheden. De bijbehorende afbeelding is gemaakt met AI
