Let op: nieuwe berichtgeving volgt onderaan.
Op woensdag 21 oktober staat een belangrijke beveiligingsupdate voor PHP gepland. Het PHP-beveiligingsteam heeft aangekondigd twee kritieke kwetsbaarheden te verhelpen, beide met een CVSS v4.0-score van 9,2. De mogelijke impact is groot: volgens het Europese cybersecurityteam CERT-EU kunnen de kwetsbaarheden leiden tot het uitvoeren van code op afstand (Remote Code Execution), mogelijk zonder dat een aanvaller zich eerst hoeft te authenticeren.
De beveiligingsrelease staat gepland voor vandaag om 16.00 uur Nederlandse tijd. Organisaties die PHP gebruiken, doen er verstandig aan zich nu al voor te bereiden. Wacht niet tot het moment van publicatie om in kaart te brengen welke systemen geraakt kunnen worden en wie verantwoordelijk is voor het installeren van updates.
Waarom is dit belangrijk?
PHP vormt de basis van een groot aantal websites en webapplicaties. Denk aan omgevingen met WordPress, Joomla en andere contentmanagementsystemen, maar ook aan webshops, maatwerkapplicaties en interne bedrijfsapplicaties. PHP kan bovendien onderdeel zijn van systemen waarvan niet direct duidelijk is dat ze ervan afhankelijk zijn.
CERT-EU vermeldt in zijn officiële beveiligingsadvies dat de kwetsbaarheden mogelijk van invloed zijn op PHP-versies vanaf PHP 5. De exacte getroffen versies en de beschikbare oplossingen moeten worden vastgesteld aan de hand van de officiële release-informatie. De CVE-identificaties die bij de waarschuwing worden genoemd, zijn CVE-2026-109618 en CVE-2026-109619.
Er circuleren daarnaast berichten over mogelijk beschikbare proof-of-conceptcode. Dat onderstreept de noodzaak om de situatie serieus te nemen, maar is op zichzelf geen bewijs dat iedere PHP-applicatie kwetsbaar is of dat er op grote schaal succesvolle aanvallen plaatsvinden. De volledige technische details worden door het PHP-team bij de beveiligingsrelease verwacht.
Wat moeten beheerders nu doen?
De tijd tot de aangekondigde release kan het beste worden gebruikt om de voorbereiding af te ronden. Wacht niet met inventariseren totdat de patches beschikbaar zijn.
1. Breng alle PHP-systemen in kaart. Inventariseer websites, webapplicaties, containers, servers en hostingomgevingen waarop PHP draait. Controleer ook systemen die door externe leveranciers of hostingpartijen worden beheerd.
2. Controleer wie verantwoordelijk is voor updates. Bij managed hosting of gedeelde hosting is het belangrijk om na te gaan wanneer de provider de beveiligingsupdates beschikbaar stelt en installeert. Vertrouw er niet zonder controle op dat dit automatisch gebeurt.
3. Bereid een snelle, gecontroleerde update voor. Controleer welke PHP-versies in gebruik zijn, hoe de updates worden uitgerold en of er een terugvalprocedure beschikbaar is. Houd rekening met compatibiliteit en testmogelijkheden, zonder de noodzakelijke beveiligingsmaatregelen onnodig uit te stellen.
4. Volg de officiële publicatie. Controleer zodra de release verschijnt welke versies kwetsbaar zijn en welke bijgewerkte versies de kwetsbaarheden verhelpen. Installeer de passende beveiligingsupdate zo snel mogelijk en verifieer daarna dat de applicaties daadwerkelijk op een verholpen versie draaien.
5. Beoordeel tijdelijke risicobeperking. Als direct patchen niet mogelijk is, adviseert CERT-EU om te overwegen internettoegankelijke applicaties van het openbare netwerk af te schermen totdat een oplossing kan worden toegepast. Stem zo'n maatregel af op de concrete omgeving en de gevolgen voor de dienstverlening. Een firewall of andere aanvullende bescherming mag niet zonder onderbouwing als vervanging voor de beveiligingsupdate worden beschouwd.
6. Controleer op verdachte activiteit. Besteed extra aandacht aan webserverlogs, applicatielogs en signalen uit bestaande beveiligingsmonitoring. Onderzoek afwijkingen volgens de gebruikelijke incidentresponsprocedures en bewaar relevante loggegevens.
Volg de officiële informatie
Voor organisaties in Europa is het beveiligingsadvies van CERT-EU een belangrijk centraal referentiepunt. Het advies beschrijft de ernst van de kwetsbaarheden en adviseert organisaties zich voor te bereiden op onmiddellijke patching. De informatie wordt aangevuld zodra meer technische details beschikbaar zijn.
Officieel Europees beveiligingsadvies:
CERT-EU – Security Advisory 2026-018: Critical Vulnerabilities in PHP
Raadpleeg daarnaast de aankondiging van het PHP-beveiligingsteam voor de officiële planning en de publicatie van getroffen en verholpen versies:
PHP.net – Upcoming Critical PHP Security Release
Voor aanvullende Nederlandstalige berichtgeving is ook het artikel van Tweakers beschikbaar:
Tweakers – PHP waarschuwt voor twee ernstige bugs die makkelijk uit te buiten lijken
Conclusie: zorg dat je klaarstaat om te handelen
De aangekondigde PHP-release van vandaag verdient de aandacht van iedere organisatie die PHP-systemen beheert of laat beheren. De combinatie van twee kritieke kwetsbaarheden, een CVSS-score van 9,2 en het mogelijke risico op uitvoering van code op afstand maakt een snelle en goed voorbereide reactie noodzakelijk.
Gebruik de tijd tot 16.00 uur om je PHP-omgeving te inventariseren, verantwoordelijkheden vast te leggen en het updateproces klaar te zetten. Controleer daarna direct de officiële release-informatie, installeer de juiste beveiligingsupdates en verifieer dat de systemen daadwerkelijk zijn bijgewerkt. Als onmiddellijke patching niet mogelijk is, beoordeel dan serieus de door CERT-EU geadviseerde tijdelijke isolatie van internettoegankelijke applicaties.
Bij kritieke kwetsbaarheden is voorbereiding geen formaliteit. Het is een essentieel onderdeel van het beperken van risico's voor websites, applicaties en de gegevens die zij verwerken.
Nieuwe berichtgeving
Update om 14:00 Nederlandse tijd
Vanuit officiële bronnen is er op dit moment nog geen nieuwe informatie beschikbaar. Wel lijken steeds meer websites uit voorzorg tijdelijk offline te gaan. Er worden onder meer mijnoverheid.nl, tweedekamer.nl en digid.nl genoemd.
Omdat details over de kwetsbaarheden afgelopen nacht voortijdig zijn uitgelekt, nog voordat PHP zelf informatie en een oplossing naar buiten heeft gebracht, bestaat er extra onzekerheid over de mogelijke risico's en de beschikbare voorbereidingstijd.
PHP heeft aangekondigd later vandaag, woensdag 21 oktober 2026, om 16:00 Nederlandse tijd een beveiligingsrelease te publiceren. Volgens het PHP-team bevat deze release oplossingen voor beide kwetsbaarheden. PHP geeft daarbij aan de release eventueel eerder te publiceren als details van een van de kwetsbaarheden openbaar worden of als er aanwijzingen zijn voor actief misbruik.
Voor zover op dit moment bekend, is er geen bevestigde tijdelijke maatregel die de kwetsbaarheden volledig verhelpt. Het is daarom verstandig om de officiële berichtgeving nauwlettend te volgen, alvast voorbereidingen te treffen voor het installeren van de updates en te beoordelen of systemen tijdelijk afgeschermd of offline gehaald moeten worden. Zodra de officiële informatie en patches beschikbaar zijn, is het belangrijk om per situatie te beoordelen welke maatregelen nodig zijn en hoe snel deze kunnen worden uitgevoerd.
Update om 15:00 Nederlandse tijd
Officieel inhoudelijk nieuws laat voorlopig nog op zich wachten.
De PHP Foundation heeft via persbureau ANP aangegeven dat er geen aanwijzingen zijn voor actief misbruik van de kwetsbaarheden. Ook het Nationaal Cyber Security Centrum (NCSC) ziet volgens de NOS op dit moment geen aanwijzingen voor actief misbruik.
Officieel worden momenteel alleen PHP-versies 8.2 tot en met 8.5 nog ondersteund. Gezien de mogelijke ernst van de kwetsbaarheden is het echter nog niet duidelijk of oudere PHP-versies eveneens beveiligingsupdates zullen ontvangen. De kwetsbaarheden lijken terug te gaan tot PHP 5.4.0, dat in maart 2012 werd uitgebracht. Of en in hoeverre oudere of latere versies daadwerkelijk kwetsbaar zijn, en of daarvoor oplossingen beschikbaar komen, moet nog blijken uit de officiële informatie van het PHP-team later vandaag.
Volgens een van de kernontwikkelaars van PHP is het installeren van de beveiligingsupdates de enige manier om systemen daadwerkelijk tegen deze kwetsbaarheden te beschermen.
Update om 16:00 Nederlandse tijd
De beveiligingsupdates voor PHP zijn beschikbaar. Zelfs al iets eerder dan het nieuwsbericht zelf. PHP heeft twee kritieke kwetsbaarheden bevestigd die uitvoering van code op afstand mogelijk kunnen maken zonder dat daarvoor authenticatie nodig is.
De updates zijn beschikbaar voor PHP 8.2 tot en met 8.5. De betreffende versies met oplossing zijn respectievelijk vanaf:
- 8.2.35
- 8.3.36
- 8.4.27
- 8.5.12
PHP adviseert gebruikers dringend om zo snel mogelijk bij te werken.
De kwetsbaarheden kunnen verschillende PHP-omgevingen treffen, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Volgens het PHP-team is het risico het grootst bij mod_php, waarvoor een aanval is aangetoond die kan worden uitgevoerd voordat applicatiecode actief wordt.
Voor PHP 8.1 en oudere versies brengt het PHP-project zelf geen reguliere updates meer uit. Sommige Linux-distributies en leveranciers bieden mogelijk wel beveiligingsupdates aan. Het PHP-team heeft daarnaast beperkte patches beschikbaar gesteld voor PHP 7.4, 8.0 en 8.1 voor specifieke situaties waarin gebruikers zelf vanuit de broncode bouwen of geen updates via een leverancier kunnen ontvangen.
PHP geeft aan dat er geen volledige tijdelijke oplossing is: alleen het installeren van een beveiligingsupdate biedt volledige bescherming. Er zijn wel maatregelen die bepaalde aanvalspaden beperken, maar deze maken een kwetsbare installatie niet volledig veilig.
Het volledige beveiligingsadvies, inclusief technische details en instructies, is te vinden in de officiële aankondiging op de voorpagina van PHP.net. Welke update beschikbaar is en hoe deze het beste kan worden geïnstalleerd, hangt af van de gebruikte PHP-versie, toepassing of omgeving.