Update: PHP-kwetsbaarheden nog steeds reden om direct te patchen
Door ActueelNieuws.nl · Bron: NCSC
Bron: NCSC · gepubliceerd door ActueelNieuws.nl
Wat dit betekent
Het NCSC meldt dat er twee kritieke kwetsbaarheden in de programmeertaal PHP zijn ontdekt, waardoor aanvallers op afstand systemen kunnen overnemen. Voor organisaties in Nederland betekent dit dat hun websites en webapplicaties direct moeten worden gepatcht of, als dat niet meteen kan, tijdelijk offline moeten blijven om misbruik te voorkomen. De benodigde beveiligingsupdates zijn inmiddels beschikbaar en het NCSC heeft geen aanwijzingen dat de kwetsbaarheden tot nu toe succesvol zijn uitgebuit. Daarom is snelle actie nu noodzakelijk om de veiligheid van digitale diensten te waarborgen.
Duiding van de redactie van ActueelNieuws.nl, op basis van het onderstaande bericht.
Alert21 oktober 2026Bijgewerkt: 22 okt 2026 om 13:01Er zijn twee kritieke kwetsbaarheden ontdekt in PHP, een veelgebruikte programmeertaal voor websites en webapplicaties. Misbruik van deze kwetsbaarheden kan ertoe leiden dat aanvallers op afstand systemen overnemen. Uit voorzorg had het NCSC zijn website tijdelijk offline gehaald. Ook meerdere andere organisaties, waaronder overheidsinstanties, hadden hun websites preventief uitgeschakeld. Inmiddels zijn beveiligingsupdates (patches) beschikbaar om de kwetsbaarheden te verhelpen.
Naar aanleiding van ons eerdere bericht over de twee kritieke kwetsbaarheden in PHP geven we een update over de situatie. Sinds de publicatie van onze advisory en de beschikbaarheid van beveiligingsupdates zijn verschillende websites weer online. Heeft jouw organisatie de updates nog niet geïnstalleerd? Doe dit dan zo snel mogelijk. Houd systemen die nog kwetsbaar zijn uit voorzorg offline totdat je de updates hebt doorgevoerd.
Het NCSC heeft op dit moment geen signalen dat de kwetsbaarheden succesvol zijn misbruikt. Ook zijn er momenteel geen aanwijzingen dat de beschikbare patches de kwetsbaarheden onvoldoende verhelpen.
Online verschijnen verschillende proof-of-concepts (PoC's): voorbeelden van code waarmee onderzoekers of aanvallers een kwetsbaarheid kunnen testen of misbruiken. Uit eigen onderzoek blijkt dat de PoC's die we hebben onderzocht, nog niet succesvol zijn. Dat sluit toekomstig misbruik niet uit. Eén werkende variant kan voldoende zijn om aanvallen op grotere schaal mogelijk te maken.
Wacht daarom niet op signalen van misbruik, maar installeer de beschikbare beveiligingsupdates zo snel mogelijk. Controleer welke PHP-versie jouw organisatie gebruikt en volg de instructies van het NCSC en je softwareleverancier. Maak daarbij gebruik van onze beslisboom die je verderop in bericht vindt.
Het is van belang dat organisaties zo snel mogelijk nagaan of hun systemen kwetsbaar zijn en de beschikbare updates doorvoeren. Zolang systemen niet zijn bijgewerkt, is het nodig deze uit voorzorg offline te houden.
PHP heeft patches beschikbaar gesteld voor de PHP-kwetsbaarheden. Upgrade naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Gebruikers van Linux-distributies en LTS-versies worden geadviseerd de door hun leverancier beschikbaar gestelde beveiligingsupdates toe te passen.
PHP 8.1 en ouder worden niet meer regulier door het PHP-project ondersteund. Voor PHP 7.4, 8.0 en 8.1 heeft het PHP-team vanwege de ernst van de kwetsbaarheden wel minimale broncodepatches beschikbaar gesteld.
Wanneer direct updaten niet mogelijk is, zijn tijdelijke mitigerende maatregelen beschikbaar voor beide kwetsbaarheden. Het PHP-team benadrukt dat deze maatregelen slechts specifieke aanvalspaden beperken en geen volledige oplossing vormen. Alleen het installeren van een beveiligingsupdate verhelpt de kwetsbaarheden volledig.
Het NCSC heeft een beslisboom met toelichting opgesteld over hoe jij als organisatie kan controleren welke maatregelen je kan nemen indien je gebruik maakt van PHP.
Handreiking beslisboom + toelichtingPDF , 573 kB , 21-10-2026DownloadMeer technische informatie op GithubOok heeft het NCSC een pagina ingericht op Github. Hier vind je technische informatie over de kwetsbaarheden. Deze pagina wordt doorlopend geüpdatet door het NCSC. Hier vind je ook een inventarisatie van alle PHP-gerelateerde softwareproducten om inzichtelijk te maken welke producten kwetsbaar zijn.
Dit bericht is afkomstig van NCSC en wordt hier hergebruikt onder de licentie CC0, met bronvermelding. Origineel bij NCSC