Ernstige kwetsbaarheden in PHP: bereid je voor op patchen
Door ActueelNieuws.nl · Bron: NCSC
Bron: NCSC · gepubliceerd door ActueelNieuws.nl
Wat dit betekent
Het Nationaal Cyber Security Centrum (NCSC) waarschuwt voor twee kritieke kwetsbaarheden in de programmeertaal PHP, die aanwezig zijn in alle versies vanaf versie 5. Kwaadwillenden kunnen door deze lekken op afstand servers overnemen, gegevens laten lekken of websites en inlogfuncties onbruikbaar maken. Omdat talloze organisaties PHP of software zoals WordPress gebruiken, brengt dit een zeer hoog veiligheidsrisico met zich mee. Er is inmiddels demonstratiecode openbaar waarmee aanvallers het lek kunnen misbruiken, waardoor het NCSC adviseert om direct voorbereidingen te treffen voor een aanstaande beveiligingsupdate.
Duiding van de redactie van ActueelNieuws.nl, op basis van het onderstaande bericht.
Alert21 oktober 2026Er zijn twee kritieke kwetsbaarheden gevonden, CVE-2026-109618 en CVE-2026-109619, in PHP: Hypertext Preprocessor. Deze kwetsbaarheden zijn vermoedelijk aanwezig in alle huidige versies van PHP, maar in ieder geval vanaf versie 5. Deze kwetsbaarheden maken het mogelijk voor kwaadwillenden om op afstand een remote code execution (RCE) uit te voeren. Het gevolg daarvan kan zijn dat de (web)servers overgenomen kunnen worden en websites niet meer toegankelijk zijn, gegevens worden gelekt of dat bepaalde functionaliteiten zoals inloggen niet meer mogelijk is. Er is een publieke Proof of Concept (PoC)- code beschikbaar, maar het NCSC heeft nog geen actief misbruik gesignaleerd. Wel adviseert het NCSC nadrukkelijk om alvast voorbereidingen te treffen op een komende patch op 21 oktober 16:00 Nederlandse tijd. Dit tijdstip kan eventueel worden vervroegd. Verdere details worden tijdens de release van de patch bekend gemaakt.
Alle versies vanaf versie 5 zijn in ieder geval kwetsbaar. Daarmee zijn alle producten en componenten waar PHP in zit of wat gebruik maakt van PHP in potentie kwetsbaar.
PHP is een programmeertaal waarmee websites en webapplicaties worden gebouwd. Deze programmeertaal wordt voornamelijk gebruikt voor de backend van websites, en zorgt ervoor dat een website niet alleen informatie toont, maar ook daadwerkelijk iets kan doen. Het draait op de server en verwerkt gegevens en opdrachten. Het zorgt ervoor dat men kan inloggen, voert betalingen uit en communiceert met databases. Veel andere bekende software zoals WordPress, Joomla, Drupal, Zabbix en Roundcube maken gebruik van PHP. Ook wordt het gebruikt in netwerkapparaten en enterprise hardware, IoT-dashboarding en vrijwel alle soorten van alle soorten embedded webinterfaces waar beheerders toegang hebben tot apparaatinstellingen via een browser. De schaal van producten die deze kwetsbaarheden bevatten is enorm.
Door middel van een eenvoudig POST-request kunnen de kwetsbaarheden misbruikt worden. Deze request kan leiden tot een een Remote Code Executie (RCE).
Organisaties die PHP gebruiken op hun webservers lopen een zeer hoog risico op volledige overname van het systeem door externe aanvallers.
Het NCSC adviseert om nu alvast voorbereidingen te treffen zodat de patch zo snel mogelijk geinstalleerd kan worden zodra deze beschikbaar is.
Bij veel van deze producten zal de gebruiker afhankelijk zijn van de vendor om te updaten naar de nieuwste versie van PHP.
Dit bericht is afkomstig van NCSC en wordt hier hergebruikt onder de licentie CC0, met bronvermelding. Origineel bij NCSC