Eater
De PHP-beveiligingsteams hebben aangekondigd dat er een beveiligingsupdate aankomt waarmee twee kritieke kwetsbaarheden worden verholpen. De release staat gepland voor woensdag 21 oktober 2026 om 14.00 uur UTC, wat neerkomt op 16.00 uur Nederlandse tijd. Op dit moment zijn de exacte kwetsbaarheden en de getroffen PHP-versies nog niet bekendgemaakt. Wel is duidelijk dat het om ernstige beveiligingsproblemen gaat met een CVSS v4.0-score van 9,2.
Volgens de ontwikkelaars worden gebruikers geadviseerd zich nu al voor te bereiden, zodat de update direct kan worden geïnstalleerd zodra deze beschikbaar komt. Als details van de kwetsbaarheden eerder openbaar worden, of als er aanwijzingen zijn voor actief misbruik, kan de release ook eerder verschijnen.
Beveiligingsbedrijf watchTowr meldt dat de kwetsbaarheden zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619. Volgens die melding zouden mogelijk alle PHP-versies vanaf PHP 5 kwetsbaar kunnen zijn. Dat betekent dat ook oudere websites en applicaties risico kunnen lopen. Securityspecialisten van Sansec verwachten dat aanvallen kort na publicatie snel kunnen toenemen.
Mogelijk code uitvoeren op afstand
De waarschuwingen volgen op berichten over een exploit met de naam PHP2Shell. De PHP-beheerders publiceerden hun advies nadat vermeende technische details waren uitgelekt. Die informatie is nog niet onafhankelijk bevestigd. In een uitgelekte demonstratie zou een exploittool code hebben kunnen uitvoeren op webservers met uiteenlopende toepassingen, waaronder WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal en WHMCS. Al deze applicaties maken gebruik van PHP.
De authenticiteit van de demonstratie en de precieze werking van de exploit zijn nog niet vastgesteld. Ook is niet zeker of de genoemde applicaties onder alle omstandigheden kwetsbaar zijn. Het probleem lijkt in PHP zelf te zitten, waardoor de impact niet beperkt blijft tot één specifiek contentmanagementsysteem of één enkele webapplicatie.
Het Laravel-team liet daarnaast weten dat zowel Forge als Cloud worden bijgewerkt met een oplossing voor een tweede Node.js-beveiligingsprobleem. De PHP- en Node.js-teams hebben allebei beveiligingsupdates aangekondigd voor woensdag 21 oktober. De PHP-release staat gepland voor 14.00 uur UTC, terwijl Node.js nog geen tijd heeft bevestigd. Laravel werkt rechtstreeks samen met de PHP Foundation en volgt de Node.js-release nauwgezet om gepatchte versies zo snel mogelijk in de basisimages op te nemen. Mogelijk moeten gebruikers hun apps opnieuw uitrollen om de aangepaste images binnen te halen, al wordt ook onderzocht of applicaties zonder heruitrol stilzwijgend kunnen worden gepatcht.
Omdat PHP een veelgebruikte basis vormt voor websites, webapps en interne tools, kan een kwetsbaarheid in de programmeertaal grote gevolgen hebben. Organisaties doen er verstandig aan hun PHP-installaties en alle daarvan afhankelijke applicaties in kaart te brengen. Ook is het verstandig om back-ups te controleren, onderhoudsvensters voor te bereiden en niet-essentiële diensten tijdelijk uit te schakelen totdat de updates zijn geïnstalleerd.
De PHP-ontwikkelaars adviseren beheerders om de aankondigingen op PHP.net goed te volgen. Zodra de beveiligingsupdates beschikbaar zijn, is snelle installatie belangrijk om het risico op misbruik zo klein mogelijk te houden. Verdere details over de getroffen versies en de definitieve fixes worden bij de release gepubliceerd.
