Ernstige kwetsbaarheden in PHP: bereid je voor op patchen

Er zijn twee kritieke kwetsbaarheden gevonden, CVE-2026-109618 en CVE-2026-109619, in PHP: Hypertext Preprocessor. Deze kwetsbaarheden zijn vermoedelijk aanwezig in alle huidige versies van PHP, maar in ieder geval vanaf versie 5. Deze kwetsbaarheden maken het mogelijk voor kwaadwillenden om op afstand een remote code execution (RCE) uit te voeren. Het gevolg daarvan kan zijn dat de (web)servers overgenomen kunnen worden en websites niet meer toegankelijk zijn, gegevens worden gelekt of dat bepaalde functionaliteiten zoals inloggen niet meer mogelijk is. Er is een publieke Proof of Concept (PoC)- code beschikbaar, maar het NCSC heeft nog geen actief misbruik gesignaleerd. Wel adviseert het NCSC nadrukkelijk om alvast voorbereidingen te treffen op een komende patch op 21 oktober 16:00 Nederlandse tijd. Dit tijdstip kan eventueel worden vervroegd. Verdere details worden tijdens de release van de patch bekend gemaakt.

Alle versies vanaf versie 5 zijn in ieder geval kwetsbaar. Daarmee zijn alle producten en componenten waar PHP in zit of wat gebruik maakt van PHP in potentie kwetsbaar.

PHP is een programmeertaal waarmee websites en webapplicaties worden gebouwd. Deze programmeertaal wordt voornamelijk gebruikt voor de backend van websites, en zorgt ervoor dat een website niet alleen informatie toont, maar ook daadwerkelijk iets kan doen. Het draait op de server en verwerkt gegevens en opdrachten. Het zorgt ervoor dat men kan inloggen, voert betalingen uit en communiceert met databases. Veel andere bekende software zoals WordPress, Joomla, Drupal, Zabbix en Roundcube maken gebruik van PHP. Ook wordt het gebruikt in netwerkapparaten en enterprise hardware, IoT-dashboarding en vrijwel alle soorten van alle soorten embedded webinterfaces waar beheerders toegang hebben tot apparaatinstellingen via een browser. De schaal van producten die deze kwetsbaarheden bevatten is enorm.

Hoe kan de kwetsbaarheid misbruikt worden?