De beheerders van PHP brengen twee noodupdates uit voor ernstige securitylekken. De kwetsbaarheden hebben een CVSS-score van 9,2.
De beveiligingsupdates worden naar verwachting op 21 oktober om 14.00 uur UTC (16.00 uur Nederlandse tijd) vrijgegeven. Volgens Ars Technica is de kans groot dat de patches eerder openbaar worden gemaakt, als technische details uitlekken. Dit geldt ook als er aanwijzingen zijn van actief misbruik.
Beveiligingsbedrijf watchTowr meldt dat de kwetsbaarheden geregistreerd zijn als CVE-2026-109618 en CVE-2026-109619. Volgens het bedrijf zijn mogelijk alle PHP-versies vanaf PHP 5 kwetsbaar. Dat betekent dat ook oudere websites en applicaties risico kunnen lopen. Security-specialisten van Sansec verwachten dat er binnen 15 minuten na de bekendmaking massale aanvallen zullen beginnen.
Mogelijk code uitvoeren op afstand
De verschillende waarschuwingen volgen op berichten over een exploit met de naam PHP2Shell. De PHP-beheerders publiceerden het advies naar aanleiding van het uitlekken van vermeende details, die nog moeten worden bevestigd. De uitgelekte informatie bevatte een video waarin een exploittool met de naam PHP2Shell code uitvoerde op webserversdie code uitvoerde op webservers waarop WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symfony 8.1.9, Drupal 11.4.10 en WHMCS 9.0.9 draaien. Al die applicaties maken gebruik van PHP.
De authenticiteit van de demonstratie en de precieze werking van de exploit zijn nog niet onafhankelijk bevestigd. Evenmin staat vast of de genoemde applicaties onder alle omstandigheden kwetsbaar zijn. Het mogelijke beveiligingsprobleem bevindt zich in PHP zelf, waardoor de gevolgen zich niet tot één specifiek contentmanagementsysteem beperken. Begin 2026 bleek ook een kwetsbaarheid in Cloudflare misbruik van beveiligingslekken in PHP-applicaties mogelijk te maken.
Als open-source-scriptaal voor het bouwen van dynamische websites en webapps is PHP uitgegroeid tot een de facto bouwsteen voor het web. Naast WordPress maken ook andere CMS-apps gebruik van PHP. PHP vormt tevens de basis voor veel interne tools. Een beveiligingsonderzoeker meldde dat naar schatting 1,3 miljoen met het internet verbonden hosts waarschijnlijk kwetsbaar zijn. Kwetsbaarheden van deze kunnen grote schade aanrichten op het internet.
Organisaties krijgen het advies hun PHP-installaties en de daarvan afhankelijke applicaties te inventariseren. Ook moeten ze back-ups maken en onderhoudsvensters voorbereiden. Beheerders zouden kunnen overwegen niet-essentiële diensten tijdelijk uit te schakelen totdat de updates zijn geïnstalleerd.
De PHP-ontwikkelaars geven aan dat beheerders de aankondigingen op PHP.net moeten volgen. Zodra de beveiligingsupdates beschikbaar zijn, is snelle installatie noodzakelijk om het risico op misbruik te beperken.