UPDATE 15:50
PHP heeft patches beschikbaar gesteld die de eerder vandaag vermelde PHP-kwetsbaarheden verhelpen.
Upgrade naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35.
Gebruikers van Linux-distributies en LTS-versies wordt geadviseerd de door hun leverancier beschikbaar gestelde beveiligingsupdates toe te passen.
PHP 8.1 en ouder worden niet meer regulier door het PHP-project ondersteund. Voor PHP 7.4, 8.0 en 8.1 heeft het PHP-team vanwege de ernst van de kwetsbaarheden wel minimale broncodepatches beschikbaar gesteld.
Wanneer direct updaten niet mogelijk is, zijn tijdelijke mitigerende maatregelen beschikbaar voor beide kwetsbaarheden. Het PHP-team benadrukt dat deze maatregelen slechts specifieke aanvalspaden beperken en geen volledige oplossing vormen. Alleen het installeren van een beveiligingsupdate verhelpt de kwetsbaarheden volledig. Zie bijgevoegde referenties voor meer informatie.
UPDATE 14:30
Het is nog altijd de verwachting dat om 16:00 uur de patches beschikbaar komen voor de PHP-kwetsbaarheden. Bereid je hier alvast op voor.
Technische informatie en doorlopende updates vind je op Github. Op dit moment wordt er gewerkt aan een inventarisatie van alle PHP-gerelateerde softwareproducten om inzichtelijk te maken welke producten kwetsbaar zijn.
21 oktober 2026 - 11:03 uur
Er zijn twee kritieke kwetsbaarheden gevonden, CVE-2026-109618 en CVE-2026-109619, in PHP: Hypertext Preprocessor. Deze kwetsbaarheden zijn vermoedelijk aanwezig in alle huidige versies van PHP, maar in ieder geval vanaf versie 5. Deze kwetsbaarheden maken het mogelijk voor kwaadwillenden om op afstand een remote code execution (RCE) uit te voeren. Het gevolg daarvan kan zijn dat de (web)servers overgenomen kunnen worden en websites niet meer toegankelijk zijn, gegevens worden gelekt of dat bepaalde functionaliteiten zoals inloggen niet meer mogelijk is. Er is een publieke Proof of Concept (PoC)- code beschikbaar, maar het NCSC heeft nog geen actief misbruik gesignaleerd. Wel adviseert het NCSC nadrukkelijk om alvast voorbereidingen te treffen op een komende patch op 21 oktober 16:00 Nederlandse tijd. Dit tijdstip kan eventueel worden vervroegd. Verdere details worden tijdens de release van de patch bekend gemaakt.
Alle versies vanaf versie 5 zijn in ieder geval kwetsbaar. Daarmee zijn alle producten en componenten waar PHP in zit of wat gebruik maakt van PHP in potentie kwetsbaar.
PHP is een programmeertaal waarmee websites en webapplicaties worden gebouwd. Deze programmeertaal wordt voornamelijk gebruikt voor de backend van websites, en zorgt ervoor dat een website niet alleen informatie toont, maar ook daadwerkelijk iets kan doen. Het draait op de server en verwerkt gegevens en opdrachten. Het zorgt ervoor dat men kan inloggen, voert betalingen uit en communiceert met databases. Veel andere bekende software zoals WordPress, Joomla, Drupal, Zabbix en Roundcube maken gebruik van PHP. Ook wordt het gebruikt in netwerkapparaten en enterprise hardware, IoT-dashboarding en vrijwel alle soorten van alle soorten embedded webinterfaces waar beheerders toegang hebben tot apparaatinstellingen via een browser. De schaal van producten die deze kwetsbaarheden bevatten is enorm.
Door middel van een eenvoudig POST-request kunnen de kwetsbaarheden misbruikt worden. Deze request kan leiden tot een een Remote Code Executie (RCE).
Organisaties die PHP gebruiken op hun webservers, lopen een zeer hoog risico op volledige overname van het systeem door externe aanvallers.
Het NCSC adviseert om nu alvast voorbereidingen te treffen zodat de patch zo snel mogelijk geïnstalleerd kan worden zodra deze beschikbaar is.
Bij veel van deze producten zal de gebruiker afhankelijk zijn van de vendor om te updaten naar de nieuwste versie van PHP.
Houd de website van PHP Security Team in de gaten.
Vanwege de kwetsbaarheden in PHP hebben wij uit voorzorg onze website (NCSC.NL) tijdelijk offline gehaald. We werken hard aan een oplossing en doen er alles aan om de website zo snel mogelijk weer beschikbaar te maken.
In de tussentijd kun je ook voor nieuws, updates of vragen terecht op onze LinkedIn-pagina en check deze Advisory. Actualiteit is voor bedrijven en organisaties ook uit te wisselen via de NCSC Community. Organisaties die gebruik maken van onze CSIRT-dienstverlening kunnen terecht op MijnNCSC.
Roger Kaemingk - woordvoerder
Tel: + 3 16 31 10 51 89
Mail: pers@ncsc.nl
Georgine Aerts - persvoorlichter
Tel: +31 6 29 69 15 00
Mail: pers@ncsc.nl
Aanwezig: ma-di-wo-do
Voor spoedeisende vragen buiten kantooruren kun je contact opnemen via: 070 751 55 30.
Er is een kopie van de NCSC-website beschikbaar via het archief. Daar kun je informatie van gisteren of eerdere datum terugvinden. Laat het gerust weten als je ergens tegenaan loopt. Neem contact op met het NCSC voor vragen, problemen of suggesties ter verbetering.