Op 21 oktober 2026 heeft PHP updates uitgebracht voor twee kritieke kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619, samen ook PHP2Shell genoemd. Beide hebben een CVSS-score van 9,2. Volgens CISA en CERT-EU kan een aanvaller er zonder in te loggen code mee uitvoeren op de server. Het Nederlandse NCSC adviseert direct te updaten.
Wat is er aan de hand?
Volgens CERT-EU gaat het om twee fouten in PHP zelf, niet in een bepaalde website of plug-in:
- CVE-2026-109618: geheugenbeschadiging bij het afhandelen van een tekort aan geheugen. Als een verzoek tijdens het verwerken van een bestandsupload wordt onderbroken, kan ongeïnitialiseerd geheugen worden vrijgegeven.
- CVE-2026-109619: gegevens van een verzoek blijven bestaan nadat het geheugen is vrijgegeven, bijvoorbeeld na een fatale fout, en een later verzoek op dezelfde worker kan ze gebruiken.
Volgens CISA zijn alle PHP-installaties die webverzoeken afhandelen getroffen: Apache met mod_php (volgens PHP het hoogste risico), PHP-FPM, php-cgi, FrankenPHP en LiteSpeed.
Welke versies zijn veilig?
- PHP 8.5: update naar 8.5.12
- PHP 8.4: update naar 8.4.27
- PHP 8.3: update naar 8.3.36
- PHP 8.2: update naar 8.2.35
PHP 8.1 en ouder worden door PHP niet meer onderhouden. Voor PHP 7.4, 8.0 en 8.1 heeft PHP wel minimale patches gepubliceerd, en sommige distributies en LTS-leveranciers leveren eigen gepatchte versies. CISA adviseert om systemen met PHP 8.1 of ouder offline te halen totdat ze zijn bijgewerkt. Gebruik je een Linux-distributie, controleer dan wat je leverancier aanbiedt.
Wordt het misbruikt?
De berichten verschillen en veranderden in de loop van de week:
- CISA schreef bij publicatie op 21 oktober dat het geen succesvol misbruik had gezien.
- Het NCSC meldde op 22 oktober dat het onderzoek deed naar eerste tekenen van succesvol misbruik, en dat er proof-of-concept-exploits bestaan. Op 23 oktober meldde het één bericht over een mogelijk misbruik in het buitenland, zonder bevestiging, en schreef het dat de kans op grootschalig misbruik lager is dan eerder ingeschat.
- CERT-EU schrijft dat er proof-of-concepts circuleren en dat dit de kans vergroot dat aanvallers de kwetsbaarheden al gebruiken, zonder dat het misbruik bevestigt.
Het NCSC haalde zijn eigen website als voorzorgsmaatregel tijdelijk offline, net als verschillende andere organisaties, waaronder overheidsinstanties.
Een derde kwetsbaarheid
Op 23 oktober werd een derde kwetsbaarheid bekendgemaakt, CVE-2026-115560. Volgens het NCSC acht de PHP Foundation het onwaarschijnlijk dat die code-uitvoering mogelijk maakt, en wordt ze verholpen in de volgende gewone bugfixrelease. CERT-EU meldt dat PHP hiervoor geen aparte update uitbrengt en dat een tijdelijke maatregel wordt aanbevolen.
Wat moet je nu doen?
- Update PHP naar een van de versies hierboven. Voor een website is dat meestal een instelling bij je hosting; de PHP-versie van je site vind je in het controlepaneel van je hosting. Een update van WordPress, Magento, Drupal of een ander CMS vervangt PHP zelf niet.
- Stel de update niet uit. Het NCSC adviseert systemen die niet zijn bijgewerkt als voorzorg offline te houden totdat ze zijn bijgewerkt.
- Controleer ook software waarin PHP is ingebouwd, zoals beheerpanelen en andere pakketten. Het NCSC heeft een lijst van kwetsbare PHP-gerelateerde producten gepubliceerd.
- Gebruik tijdelijke maatregelen alleen als overbrugging. CERT-EU noemt onder meer het beperken van
post_max_size, het uitschakelen vansession.upload_progress.enableden, op PHP 8.5,fatal_error_backtraces=0. Het advies is duidelijk: alleen een update lost de kwetsbaarheden volledig op. Een webapplicatiefirewall kan volgens CISA enige bescherming geven tot het patchen is gedaan. - Beheer je zelf geen servers? Neem dan contact op met je hostingpartij of IT-leverancier en vraag welke PHP-versie je website draait en of die is bijgewerkt.
Wil je weten welke PHP-versie jouw website gebruikt, of hulp bij het updaten? Neem contact met ons op.
Bronnen
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21 oktober 2026, herzien 23 oktober)
- NCSC: PHP vulnerabilities remain a reason for immediate patching (21 oktober 2026, bijgewerkt 23 oktober)
- CERT-EU: Critical Vulnerabilities in PHP (advisory 2026-018) (bijgewerkt 23 oktober 2026)