PHP waarschuwt voor twee kritieke kwetsbaarheden

Wat betekent dit voor jouw webshop?

Veel webshops, boekingsplatforms, WordPress-sites en andere online diensten draaien op PHP. Als de kwetsbaarheid inderdaad in de PHP-kern zit, kan niet alleen een CMS-update volstaan: ook de PHP-versie op de server moet worden gepatcht.

Volgens beveiligingsonderzoekers gaat het vermoedelijk om twee remote code execution-fouten. Een aanvaller zou daarmee mogelijk code op een server kunnen uitvoeren.

De rapportages noemen CVE-2026-109618 en CVE-2026-109619. PHP bevestigt de twee kritieke bugs, maar heeft deze CVE’s en de technische oorzaak nog niet officieel bevestigd.

Wanneer verschijnt de beveiligingsupdate?

PHP kondigde de update aan op 20 oktober. De beveiligingsrelease was gepland voor 21 oktober om 14:00 UTC, dus 16:00 Nederlandse tijd.

De release komt vervroegd omdat informatie over de kwetsbaarheden mogelijk vóór de officiële openbaarmaking openbaar is geworden. CERT-EU en beveiligingsonderzoekers meldden dat details waren gelekt.

Er is volgens de eerste meldingen nog geen bevestigd misbruik in het wild. Toch is snel handelen verstandig, omdat aanvallers mogelijk al over technische informatie beschikken.

Welke PHP-versies zijn mogelijk kwetsbaar?

Externe rapportages wijzen op mogelijk kwetsbare PHP-versies vanaf PHP 5 tot en met PHP 8. PHP heeft dit nog niet officieel bevestigd.

Daarom is het verstandig om niet te wachten op een definitieve lijst. Controleer nu al welke PHP-versie je webshop of website gebruikt en vraag je hostingpartij naar het updatebeleid.

Wat kun je nu doen?

• Controleer de PHP-versie van je webshop, website of hostingpakket.
• Vraag je hostingpartij of de beveiligingsupdate automatisch wordt geïnstalleerd.
• Maak een volledige back-up van bestanden en database.
• Update eerst een test- of stagingomgeving, als die beschikbaar is.
• Installeer de officiële PHP-patch zo snel mogelijk in de live omgeving.
• Controleer daarna of je webshop, betaalmodule en invoegtoepassingen normaal werken.
• Houd serverlogs in de gaten op verdachte activiteit.

Geen paniek, wel snel handelen

Er is nog geen bevestigde aanval bekend. De combinatie van een kritieke score, mogelijke remote code execution en gelekte informatie maakt de situatie echter urgent voor online winkels en andere PHP-gebaseerde platforms.

PHP heeft nog niet bekendgemaakt welke aanvalsvector wordt gebruikt, of er een workaround bestaat en welke versies definitief kwetsbaar zijn. Die informatie volgt waarschijnlijk bij de officiële beveiligingsrelease.

Dit artikel is gebaseerd op de officiële PHP-aankondiging en rapportages van CERT-EU, BleepingComputer, Huntress en beveiligingsonderzoekers. De bijbehorende afbeelding is gemaakt met AI.