Kritieke kwetsbaarheden in PHP: wat betekent dit voor jouw website?

PHP is een veelgebruikte programmeertaal voor websites en webapplicaties. Onder andere WordPress is in PHP geschreven. Ongeveer zeven op de tien websites waarvan de serverside-programmeertaal bekend is gebruikt PHP.

Op 20 oktober maakte het PHP-team bekend dat er een belangrijke securityrelease aankomt voor twee kritieke kwetsbaarheden. Beide hebben een CVSS v4.0-score van 9,2. Het team gaf daarbij aan dat de details over getroffen en gepatchte PHP-versies samen met de securityrelease worden gepubliceerd.

PHP adviseert organisaties om zich voor te bereiden op het direct patchen van getroffen systemen. Volgens de Europese cybersecuritydienst kunnen de kwetsbaarheden mogelijk leiden tot het op afstand uitvoeren van code zonder authenticatie.

Dat laatste maakt de situatie bijzonder ernstig.

Bij dit soort kwetsbaarheden is vooral het risico op zogenaamde Remote Code Execution (RCE) belangrijk. Daarbij kan een aanvaller mogelijk op afstand eigen code laten uitvoeren op het kwetsbare systeem.

CERT-EU meldt dat de twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, een CVSS-score van 9,2 hebben en mogelijk zonder authenticatie kunnen leiden tot remote code execution. Tegelijkertijd benadrukt de organisatie dat nog niet alle technische details openbaar zijn gemaakt.

Dat laatste is belangrijk. Er circuleert op dit moment veel informatie over de kwetsbaarheden, maar de officiële publicatie van PHP met alle technische details en getroffen versies wordt pas samen met de securityrelease verwacht.

Het probleem is niet alleen de ernst van de kwetsbaarheden. Er zijn inmiddels ook meldingen van pogingen om ze daadwerkelijk te misbruiken.

Meerdere hostingpartners hebben al meldingen ontvangen over actieve uitbuiting. Daarnaast meldt ook Cloudflare al vroege aanvallen. Het zo snel mogelijk bijwerken van PHP is daarom ook noodzaak.

Daarmee is dit niet meer alleen een theoretisch beveiligingsrisico.

Bij PHP denken veel mensen meteen aan WordPress. Maar de kwetsbaarheid zit volgens de beschikbare informatie in PHP zelf, niet specifiek in WordPress of een individuele plug-in.

Naast WordPress zijn ook PHP-applicaties zoals Drupal, Magento, Joomla en Laravel voorbeelden van omgevingen die risico kunnen lopen wanneer ze een kwetsbare PHP-versie gebruiken.

Het is dus belangrijk om niet alleen naar je openbare bedrijfswebsite te kijken.

Denk bijvoorbeeld ook aan PHP-omgevingen voor andere websites en webapplicaties, test- en stagingomgevingen en andere internet-facing diensten die op PHP draaien.

De ernst van de situatie zorgt ervoor dat organisaties wereldwijd maatregelen nemen.

Zo'n tijdelijke onderbreking kan grote gevolgen hebben voor de bereikbaarheid, maar bij een kritieke kwetsbaarheid moet dat worden afgewogen tegen het risico van een internet-facing systeem waarvoor nog geen beschikbare patch is geïnstalleerd.

CERT-EU adviseert organisaties daarom expliciet om internet-facing applicaties te isoleren van publieke netwerken wanneer ze niet onmiddellijk kunnen worden gepatcht.

Heb je een website, webshop of webapplicatie die gebruikmaakt van PHP? Dan is het belangrijk om niet simpelweg af te wachten.

1. Breng je PHP-omgevingen in kaart

Controleer welke systemen binnen je organisatie gebruikmaken van PHP. CERT-EU adviseert organisaties expliciet om PHP-gebaseerde applicaties te identificeren en zich voor te bereiden op het installeren van de beveiligingsupdate.

Kijk daarbij verder dan alleen de website die klanten dagelijks zien. Ook andere internet-facing PHP-applicaties verdienen aandacht.

2. Beoordeel of systemen tijdelijk geïsoleerd moeten worden

Kun je een kwetsbaar internet-facing systeem niet direct beschermen of straks niet onmiddellijk patchen? Overweeg dan om het systeem tijdelijk van het openbare internet te isoleren.

Dat is niet voor iedere omgeving automatisch de juiste keuze. Een bedrijfskritische webshop zomaar uitzetten heeft bijvoorbeeld grote gevolgen. Maak daarom een risicoafweging op basis van de kwetsbaarheid, bereikbaarheid vanaf internet en het belang van de applicatie.

Het sluit aan bij het officiële advies van CERT-EU: als onmiddellijk patchen niet mogelijk is, moet worden overwogen om internet-facing applicaties van openbare netwerken te isoleren totdat de fix kan worden toegepast.

3. Bereid de update alvast voor

De securityrelease staat gepland voor 21 oktober 2026 om 16.00 uur Nederlandse tijd. Volgens PHP worden dan ook de getroffen versies, gepatchte versies en verdere details bekendgemaakt.

Zorg daarom dat je vooraf weet:

• Welke PHP-installaties je beheert

• Wie verantwoordelijk is voor het uitvoeren van de update

• Welke applicaties mogelijk geraakt worden

• Of je hostingprovider PHP voor je beheert

• Welke omgevingen na de update moeten worden gecontroleerd

Daarmee voorkom je dat je pas om 16.00 uur begint uit te zoeken welke systemen binnen je organisatie aandacht nodig hebben.

4. Installeer de beveiligingsupdate zo snel mogelijk

Zodra de gepatchte versies beschikbaar zijn en duidelijk is welke PHP-versies getroffen zijn, is snel updaten belangrijk.

Het PHP-team roept gebruikers zelf op om zich nu al voor te bereiden zodat zij zo snel mogelijk kunnen upgraden zodra de release beschikbaar is.

Ook CERT-EU adviseert om getroffen systemen onmiddellijk te patchen zodra de fixes beschikbaar komen.

Het installeren van de update is de belangrijkste stap, maar daarmee is je werk niet automatisch klaar.

Zeker wanneer een kwetsbaar systeem vóór het patchen bereikbaar was vanaf internet, is het verstandig om vanuit security-oogpunt ook te controleren of er aanwijzingen zijn voor misbruik.

Dat is extra relevant omdat al vóór de geplande release meldingen zijn ontvangen over actieve uitbuiting en Cloudflare ook al vroege aanvallen heeft zien plaatsvinden.

Ons advies: behandel het daarom als een beveiligingsincident wanneer monitoring of logs daadwerkelijk verdachte activiteit laten zien. Dan wordt naast patchen ook onderzoek naar mogelijke compromittering belangrijk.

Dan is het belangrijk om onderscheid te maken tussen WordPress en de onderliggende PHP-omgeving.

Dat WordPress zelf volledig bijgewerkt is en alle plug-ins de nieuwste versie hebben, betekent niet automatisch dat de PHP-versie van de server ook veilig is. De huidige kwetsbaarheden hebben betrekking op PHP zelf.

WordPress is bovendien in PHP geschreven.

Gebruik je managed hosting? Neem dan contact op met je hostingprovider en controleer hoe en wanneer de PHP-securityrelease wordt toegepast.

Bij een snel ontwikkelende kwetsbaarheid is het minstens zo belangrijk om duidelijk te zijn over wat nog niet bevestigd is.

PHP heeft bevestigd dat het om twee kritieke kwetsbaarheden met een CVSS-score van 9,2 gaat en dat de securityrelease gepland staat voor 21 oktober om 14.00 UTC. De officiële pagina vermeldt op dit moment ook dat de volledige details en de getroffen en gerepareerde versies samen met de release worden gepubliceerd.

Daarom is het verstandig om voorzichtig te zijn met technische details en workarounds die online rondgaan voordat PHP deze officieel heeft bevestigd.

Dat is uiteindelijk een risicoafweging.

Wanneer een PHP-applicatie niet noodzakelijk is voor je dagelijkse bedrijfsvoering en niet direct kan worden gepatcht, kan het tijdelijk isoleren van die omgeving verstandig zijn. Dat sluit aan bij het advies van CERT-EU.

Voor bedrijfskritische systemen ligt de afweging ingewikkelder. Daar moet je het risico van downtime afzetten tegen het beveiligingsrisico van een kwetsbaar en vanaf internet bereikbaar systeem.

Wat je in ieder geval niet wilt doen, is niets doen omdat de website op dit moment nog gewoon werkt.

De belangrijkste acties op een rij:

1. Breng direct alle PHP-omgevingen in kaart.

2. Bepaal welke systemen vanaf internet bereikbaar zijn.

3. Overweeg niet-kritieke, kwetsbare systemen tijdelijk te isoleren wanneer je ze niet direct kunt patchen. Dit sluit aan bij het advies van CERT-EU.

4. Bereid de PHP-update nu al organisatorisch voor.

5. Installeer de officiële beveiligingsupdate zodra de juiste gepatchte versie beschikbaar is.

6. Controleer na het patchen of systemen correct functioneren.

7. Onderzoek verdachte activiteit wanneer daar in monitoring of logs aanleiding voor is.

8. Blijf officiële berichtgeving van PHP en beveiligingsautoriteiten volgen, omdat technische details en getroffen versies bij de release bekend worden gemaakt.

Deze PHP-kwetsbaarheden laten opnieuw zien hoe snel een digitaal risico kan escaleren. Een kwetsbaarheid in software die onder grote aantallen websites en applicaties ligt, kan ineens gevolgen hebben voor organisaties over de hele wereld.

De belangrijkste les is daarom breder dan deze ene PHP-update.

Weet welke software je gebruikt, zorg dat duidelijk is wie verantwoordelijk is voor updates en kritieke kwetsbaarheden en heb een plan klaar voor situaties waarin een systeem tijdelijk niet veilig online kan blijven.

In dit geval is de eerstvolgende belangrijke stap heel concreet: breng je PHP-omgevingen in kaart, beperk waar nodig de blootstelling aan internet en zorg dat je klaarstaat om de officiële securityupdate direct te beoordelen en toe te passen zodra deze beschikbaar is. PHP en CERT-EU adviseren beide om je nu voor te bereiden op zo snel mogelijk patchen.

Bel ons voor een vrijblijvend oriënterend gesprek. Je kunt ons bereiken via 088 25 50 100. Word je liever gebeld? Dat kan ook. Neem dan even contact op via onderstaande button. Dan bellen wij jou wanneer het jou uitkomt.