PHP publiceert patches voor kritieke kwetsbaarheden: 'Patch nu meteen!'

In dit artikel:

PHP-ontwikkelaars hebben woensdag om 16.00 uur beveiligingsupdates uitgebracht voor twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, samen bekend als PHP2Shell. Door fouten in het geheugenbeheer kunnen niet-geauthenticeerde aanvallers via een webverzoek willekeurige code uitvoeren op kwetsbare servers. Vooral PHP-installaties met mod_php lopen risico; ook PHP-FPM, php-cgi, FrankenPHP en LiteSpeed zijn kwetsbaar.

De problemen zijn opgelost in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor oudere versies zijn beperkte broncodepatches beschikbaar, terwijl sommige Linux-distributies en langetermijnleveranciers eigen updates aanbieden. Tijdelijke beveiligingsmaatregelen kunnen aanvalsroutes beperken, maar maken systemen niet volledig veilig. PHP 8.1 en ouder krijgen normaal gesproken geen updates meer.

Na een voortijdige bekendmaking van de kwetsbaarheden haalden Security.NL en later onder meer DigiD, MijnOverheid, het NCSC, overheidsdiensten, gemeenten, ziekenhuizen en mediakanalen hun websites uit voorzorg offline. Cloudflare meldde woensdagochtend de eerste aanvallen, maar het NCSC en de Amerikaanse CISA hadden op dat moment geen actief misbruik vastgesteld.

De mogelijke impact is groot: PHP draait volgens W3Techs op bijna 70 procent van alle websites en wordt gebruikt door systemen als WordPress, Drupal, Joomla en Magento. CERT-EU waarschuwt voor grootschalige aanvallen, mede omdat een vergelijkbaar PHP-lek in 2024 kort na het verschijnen van patches massaal werd misbruikt. Het advies van het NCSC en CERT-EU is om internetgerichte PHP-systemen onmiddellijk te patchen en systemen die niet tijdig kunnen worden bijgewerkt tijdelijk offline te halen. De RDI roept organisaties daarnaast op hun digitale weerbaarheid te versterken.