PHP kondigt beveiligingsupdate aan voor twee kritieke kwetsbaarheden
Het PHP-securityteam heeft op 20 oktober 2026 een beveiligingsupdate aangekondigd voor twee kritieke kwetsbaarheden in PHP. De release staat gepland voor woensdag 21 oktober 2026 om 14:00 UTC.
T-Update
Deze liveblog bevat informatie over twee kritieke kwetsbaarheden in PHP.
Laatste update blog op 21 oktober
Update 21 oktober 2026
Het PHP-securityteam heeft op 20 oktober 2026 een beveiligingsupdate aangekondigd voor twee kritieke kwetsbaarheden in PHP. De release staat gepland voor woensdag 21 oktober 2026 om 14:00 UTC. CERT-EU heeft naar aanleiding van deze aankondiging en uitgelekte informatie een advisory gepubliceerd. PHP wordt veel gebruikt voor webapplicaties, waaronder WordPress, Drupal en Magento.
Het Amerikaanse Cloudflare, dat voor veel populaire websites als een soort firewall fungeert, ziet inmiddels de eerste aanvallen voorbijkomen. De firewall van Cloudflare vangt pogingen af om het lek te misbruiken, belooft het bedrijf via ‘X’.
Achtergrond
Het PHP-securityteam meldt twee kritieke kwetsbaarheden. Beide hebben een CVSS v4.0-score van 9.2. De leverancier publiceert de technische details, getroffen versies en gepatchte versies pas bij de release. Het CERT-EU en Cyber Kendra koppelen de kwetsbaarheden aan CVE-2026-109618 en CVE-2026-109619, beide CVE’s hebben nog de status “reserved”. Onder welke configuratie een systeem kwetsbaar is, is nog niet bekend. Volgens Cyber Kendra noemt geen van de berichten de getroffen functie, extensie of configuratie. Getroffen versies: Volgens de leverancier: worden gepubliceerd bij de release. Volgens CERT-EU, op basis van een bericht van onderzoeker Kevin Beaumont: mogelijk alle PHP-versies vanaf PHP 5.
Risico
PHP beoordeelt beide kwetsbaarheden als kritiek, met een CVSS v4.0-score van 9.2, maar beschrijft nog niet wat een aanvaller ermee kan doen. CERT-EU en watchTowr wijzen op remote code execution. CERT-EU leidt uit de score af dat dit zonder authenticatie mogelijk is. watchTowr bevestigt dat de gelekte informatie over echte kwetsbaarheden gaat: “We can confirm that they’re real.”
Advies
- Breng PHP-applicaties en -versies in kaart en stel vast welke PHP-versie draait.
- Bereid de update nu voor. PHP roept alle gebruikers op zich voor te bereiden. Zo kan direct de upgrade uitgevoerd worden zodra de release beschikbaar is.
- Installeer de update zodra deze beschikbaar is.
- Overweeg isolatie als direct patchen niet mogelijk is. Overweeg internetfacing applicaties af te schermen van publieke netwerken tot een fix is toegepast.
- Plan de migratie van PHP 5 en PHP 7 naar een ondersteunde PHP 8-versie.
Heb je vragen over de mogelijke impact op uw omgeving, of is ondersteuning gewenst? Neem dan contact op met T-CERT.
Bronnen
- PHP Group: Upcoming Critical PHP Security Release (20 oktober 2026). https://www.php.net/archive/2026.php#2026-10-20-1
- CERT-EU: Security Advisory 2026-018, Critical Vulnerabilities in PHP (20 oktober 2026). https://cert.europa.eu/publications/security-advisories/2026-018/
- Cyber Kendra: PHP RCE Zero-Days CVE-2026-109618, CVE-2026-109619 Leak Early (21 oktober 2026). https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html
- watchTowr: bericht op X (20 oktober 2026). https://x.com/watchtowrcyber/status/2112611507749982605
- Tweakers: PHP waarschuwt voor twee ernstige bugs die makkelijk uit te buiten lijken (21 oktober 2026). https://tweakers.net/nieuws/253568/php-waarschuwt-voor-twee-ernstige-bugs-die-makkelijk-uit-te-buiten-lijken.html
Schrijf je in voor T-Updates
Ontvang elke woensdag het laatste nieuws over malware of kwetsbaarheden in je mail
More than 1,000 organisations have already joined us.
