Op 20 oktober kondigde het PHP-securityteam een noodrelease aan voor twee kritieke kwetsbaarheden in PHP: CVE-2026-109618 en CVE-2026-109619. CERT-EU, het cybersecurityteam van de Europese instellingen, bracht kort daarna advisory 2026-018 uit. Omdat al onze websites op PHP draaien, leggen we hier uit wat er bekend is, wat (nog) niet, en hoe we samen met onze hostingpartner uw website beschermen.
In het kort
- Twee kritieke lekken in de PHP-core, beide met een CVSS v4.0-score van 9.2.
- Ze kunnen mogelijk leiden tot remote code execution (RCE) zonder authenticatie: een aanvaller zou dan van op afstand eigen code kunnen uitvoeren op een webserver.
- De officiële patch verschijnt vandaag, 21 oktober om 14:00 UTC (16:00 Belgische tijd).
- Hostingpakketten op PHP 8.2 of hoger zijn door onze maatregelen in principe beschermd en krijgen de officiële patch zodra die er is.
- U hoeft zelf niets te installeren. Blijf wel waakzaam de komende dagen.
Wat is er precies gebeurd?
Normaal worden kwetsbaarheden in PHP onder embargo gehouden: de ontwikkelaars werken in stilte aan een fix, en de technische details worden pas publiek gemaakt wanneer de patch beschikbaar is. Dat gaf beheerders tijd om te updaten voor aanvallers wisten waar ze moesten zoeken.
Deze keer liep dat anders. Op 20 oktober lekte informatie over beide CVE's uit via onder meer Hacker News en sociale media. Het securitybedrijf watchTowr bevestigde dat het om echte, ge-embargode RCE-lekken gaat. Kort daarna bevestigde ook het PHP-team de release officieel. Daarbij gaf het aan dat het eerder kan releasen als er details publiek worden of als er misbruik in het wild wordt vastgesteld.
Wat weten we (en wat niet)?
| | Status |
|---|---|
| CVE's | CVE-2026-109618 en CVE-2026-109619 (CVE-records nog "reserved") |
| Ernst | Kritiek, CVSS v4.0 9.2 (gelekte berichten spraken van 10.0) |
| Type | Remote code execution in de PHP-core |
| Authenticatie nodig? | Volgens de score vermoedelijk niet; nog niet officieel bevestigd |
| Getroffen versies | Officieel nog niet gepubliceerd. Berichten variëren van "enkel PHP 8" tot "alle versies vanaf PHP 5" |
| Patch | 21 oktober 2026, 14:00 UTC (16:00 Belgische tijd) |
| Actief misbruik? | Op het moment van schrijven niet vastgesteld; geen publieke proof-of-concept |
| Officiële workaround | Geen. Patchen is de enige echte oplossing |
Er zijn nog geen technische details vrijgegeven over welke functie of extensie getroffen is. In securitykringen wordt gespeculeerd over een verband met de sessie-afhandeling van PHP (o.a. session.upload_progress), maar dat is niet bevestigd.
Waarom PHP 8.2 de grens is
PHP ondersteunt momenteel enkel de branches 8.2, 8.3, 8.4 en 8.5 met securityupdates. Volgens onderzoeker Florian Roth krijgt enkel PHP 8 patches; PHP 8.0 en 8.1, en zeker PHP 7 en 5, zijn end-of-life en krijgen hoogstwaarschijnlijk geen officiële fix. Een website op een oudere versie blijft dus kwetsbaar, ook na vandaag. De laatste releases van vóór deze fix (8.5.11, 8.4.26, 8.3.35 en 8.2.34, van 24 september) bevatten de correctie nog niet.
Wat doet PDSS?
1. Inventaris
We hebben in kaart gebracht welke websites op welke PHP-versie draaien, per hostingpakket. Zo weten we exact waar de patch moet komen en welke sites extra aandacht nodig hebben.
2. Samenwerking met onze hostingpartner
Sinds de aankondiging staan we in nauw contact met onze hostingpartner. De patch moet op serverniveau geïnstalleerd worden: deze lekken zitten in PHP zelf en kunnen niet in de code van de website opgelost worden.
3. Extra beveiliging in afwachting van de patch
In afwachting van de officiële fix rollen we samen met de hostingpartner tijdelijke beschermingsmaatregelen uit. Die zijn al actief voor alle pakketten op PHP 8.2 en hoger:
- Verhoogde monitoring: uitgebreidere logging van webserver en PHP-FPM, zodat we afwijkend gedrag snel zien.
- Back-ups/snapshots vóór de update, zodat we bij problemen snel kunnen terugkeren.
4. Patchen zodra de fix er is
Vanaf 16:00 Belgische tijd volgen we de release op de voet. De gepatchte versies worden zo snel mogelijk geïnstalleerd, waarna we per server controleren of de nieuwe versie effectief actief is.
5. Controle achteraf
Na het patchen controleren we op sporen van eventueel misbruik in de periode vóór de fix:
- recent aangemaakte of gewijzigde PHP-bestanden, vooral in upload- en cachemappen;
- nieuwe of onbekende beheerders in WordPress of andere CMS'en;
- verdachte uitgaande verbindingen vanaf webservers.
Vinden we iets verdachts, dan contacteren we u persoonlijk en wijzigen we de nodige wachtwoorden en sleutels.
6. Websites op oudere PHP-versies
Draait uw website nog op PHP 8.1 of ouder? Dan is upgraden naar een ondersteunde versie de enige structurele oplossing.
Wat kan u zelf doen?
U hoeft niets te installeren, maar we vragen wel om de komende dagen waakzaam te zijn:
- Let op vreemd gedrag op uw website: onbekende pagina's, doorverwijzingen naar andere sites, spam in uw content, nieuwe beheerders of een plots trage site. Meld het ons meteen.
- Wees alert voor phishing. Criminelen springen graag mee op het nieuws met mails als "Dringende PHP-update vereist, log hier in". Wij vragen u nooit per mail om in te loggen of iets te installeren.
- Hebt u websites die niet bij PDSS gehost worden? Vraag dan bij uw hostingpartij na hoe zij dit aanpakken.
Vragen?
Hebt u vragen over uw website of hosting? Contacteer ons via support@pdss.eu of 015 79 06 50.
We werken dit artikel bij zodra er meer technische details of de officiële patchversies bekend zijn.
---
Bronnen
- [CERT-EU Security Advisory 2026-018 — Critical Vulnerabilities in PHP](https://cert.europa.eu/publications/security-advisories/2026-018)
- [PHP.net — aankondiging security release (20 oktober 2026)](https://www.php.net/archive/2026.php#2026-10-20-1)
- [Beazley Security Labs — BSL-A1233](https://labs.beazley.security/advisories/BSL-A1233)
- [Cyber Kendra — PHP RCE Zero-Days Leak Early](https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html)
- [SecureLayer7 — PHP RCE CVE-2026-109618 & 109619: What To Do Now](https://blog.securelayer7.net/php-rce-cve-2026-109618-109619/)