PHP waarschuwt voor twee kritieke beveiligingslekken
De kwetsbaarheden kunnen volgens Europese cybersecurityexperts leiden tot het op afstand uitvoeren van code.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
De PHP-ontwikkelaars hebben beheerders gewaarschuwd voor twee kritieke kwetsbaarheden in de programmeertaal. Een beveiligingsupdate staat gepland voor woensdag 21 oktober om 14.00 uur UTC, maar technische details zijn nog niet openbaar.
PHP maakte de waarschuwing dinsdag bekend in zijn officiële nieuwsarchief. De twee kwetsbaarheden hebben volgens het PHP-team elk een score van 9,2 op de CVSS v4.0-schaal, die de ernst van digitale beveiligingsproblemen aanduidt. Het team zegt dat volledige details en de betrokken versies tegelijk met de beveiligingsupdates worden gepubliceerd.
CERT-EU, het cybersecurityorgaan van de Europese instellingen, bevestigt dat het om twee kritieke kwetsbaarheden gaat. Volgens de dienst kunnen ze mogelijk leiden tot remote code execution: het uitvoeren van opdrachten op een computer zonder dat de aanvaller daar fysiek aanwezig is. CERT-EU zegt dat er nog geen technische details beschikbaar zijn.
De PHP-beheerders roepen organisaties op zich alvast voor te bereiden op het installeren van de patches. CERT-EU adviseert beheerders die niet direct kunnen bijwerken om internetgerichte toepassingen tijdelijk af te schermen van openbare netwerken. Dat is een algemene voorzorgsmaatregel; de dienst meldt niet dat er al aanvallen zijn vastgesteld.
Beveiligingsbedrijf watchTowr zegt tegen BleepingComputer dat de kwetsbaarheden bekendstaan als CVE-2026-109618 en CVE-2026-109619. Het bedrijf vermoedt dat de problemen meerdere generaties van PHP raken, maar PHP zelf heeft dat vóór de geplande release niet bevestigd. Ook de precieze technische oorzaak en de manier waarop misbruik mogelijk zou zijn, zijn nog niet openbaar.
Voor organisaties die PHP gebruiken voor websites, webwinkels, contentmanagementsystemen of maatwerkapplicaties kan een kwetsbaarheid gevolgen hebben, maar de omvang is pas vast te stellen zodra de betrokken versies en oplossingen zijn gepubliceerd. BleepingComputer schrijft dat onderzoekers nog geen misbruik in het wild hebben waargenomen. Beheerders doen er daarom verstandig aan om de officiële release af te wachten, hun systemen te inventariseren en patches snel te testen en toe te passen.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De kern van het artikel steunt op de officiële aankondiging van PHP en de bevestiging van CERT-EU. Onbevestigde technische details zijn duidelijk als vermoedens van onderzoekers gemarkeerd.
- bevestigd PHP kondigde twee kritieke kwetsbaarheden aan met elk een CVSS v4.0-score van 9,2. — Vermeld in het officiële PHP-nieuwsarchief. bron
- bevestigd De beveiligingsupdate staat gepland voor 21 oktober 2026 om 14.00 uur UTC. — Genoemd door PHP en CERT-EU. bron
- bevestigd De kwetsbaarheden kunnen mogelijk remote code execution veroorzaken. — CERT-EU beschrijft dit als mogelijk gevolg; technische details zijn nog niet openbaar. bron
- bevestigd Er is geen misbruik in het wild waargenomen. — BleepingComputer schrijft dit op basis van informatie van watchTowr. bron
Noot van de redactie
De waarschuwing en geplande releasedatum zijn officieel bevestigd. De technische details, getroffen versies en eventuele actieve uitbuiting waren bij publicatie nog niet bekend.Bronnen
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 07:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- de Volkskrant — „php cybersecurity”
- NOS — „php cybersecurity”
- Het Parool — „php cybersecurity”