PHP heeft organisaties gewaarschuwd voor twee kritieke kwetsbaarheden die mogelijk van buitenaf kunnen worden misbruikt. De beveiligingsupdate komt vervroegd beschikbaar, nadat informatie over de fouten eerder openbaar zou zijn geworden.
Het PHP-securityteam beoordeelt beide kwetsbaarheden met een CVSS v4.0-score van 9,2. Daarmee behoren ze tot de ernstigste categorie. De technische details zijn op dit moment nog niet officieel vrijgegeven.
PHP kondigde de noodbeveiligingsrelease aan op 20 oktober. De update was oorspronkelijk gepland voor 21 oktober om 14:00 UTC, wat overeenkomt met 16:00 Nederlandse tijd.
Volgens rapportages van beveiligingsonderzoekers gaat het vermoedelijk om twee remote code execution-kwetsbaarheden in de PHP-kern. Dat zou een aanvaller in staat kunnen stellen om code op een server uit te voeren.
De rapportages noemen CVE-2026-109618 en CVE-2026-109619. PHP bevestigt zelf alleen dat het om twee kritieke kwetsbaarheden gaat; de CVE-nummers en technische oorzaak zijn nog niet officieel bevestigd.
De vervroegde release volgt op berichten dat informatie over de kwetsbaarheden vóór de geplande openbaarmaking is gelekt. CERT-EU en meerdere beveiligingsonderzoekers wezen op die vroegtijdige openbaarmaking.
Daardoor kan het risico toenemen dat aanvallers de informatie gebruiken om kwetsbare systemen te vinden. PHP heeft daarom besloten de beveiligingsupdate eerder uit te brengen.
Voor zover bekend is er nog geen bevestigd misbruik in het wild. Organisaties wordt desondanks aangeraden om zich direct voor te bereiden op patching.
PHP wordt veel gebruikt voor websites, webapplicaties, interne systemen en hostingomgevingen. Als de kwetsbaarheid inderdaad in de PHP-kern zit, is een update van WordPress, Laravel of een ander framework mogelijk niet voldoende.
Volgens externe rapportages zouden PHP-versies vanaf PHP 5 tot en met PHP 8 mogelijk kwetsbaar zijn. PHP heeft die informatie nog niet officieel bevestigd.
PHP heeft nog geen officiële informatie gedeeld over de precieze aanvalsvector, het kwetsbare onderdeel of mogelijke workarounds. Ook is niet bekend of een aanvaller toegangsrechten nodig heeft.
De hoge CVSS-score en de mogelijke RCE maken het risico groot. Tegelijk blijft het verstandig om onbevestigde claims over exploiteerbaarheid voorzichtig te interpreteren totdat PHP de volledige beveiligingsadviezen publiceert.
Dit artikel is gebaseerd op de officiële aankondiging van het PHP-securityteam en rapportages van CERT-EU, BleepingComputer, Huntress en beveiligingsonderzoekers. De bijbehorende afbeelding is gemaakt met AI.
Terug naar Beveiliging