Kritieke beveiligingsupdates PHP: CVE-2026-109618 en CVE-2026-109619
PHP brengt vandaag, 21 oktober 2026, een belangrijke beveiligingsupdate uit voor twee kritieke kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. Beide kwetsbaarheden hebben van het PHP Security Team een CVSS-score van 9,2 gekregen.
De beveiligingsupdates staan gepland voor 16.00 uur Nederlandse tijd. PHP heeft aangegeven de patches eerder uit te brengen wanneer meer technische details openbaar worden of wanneer actieve aanvallen worden waargenomen.
Wij volgen de ontwikkelingen actief en zullen de beschikbare patches direct na publicatie toepassen op alle managed servers.
Wat is er aan de hand?
Over de technische oorzaak heeft PHP op dit moment nog geen volledige details gepubliceerd. Wel wijzen uitgelekte informatie en onderzoek van verschillende securitybedrijven erop dat het gaat om kwetsbaarheden waarmee op afstand code kan worden uitgevoerd: Remote Code Execution (RCE).
Dat is ernstig, omdat de kwetsbaarheid zich niet in één specifiek CMS of framework lijkt te bevinden, maar in PHP zelf. PHP vormt de basis onder onder andere WordPress, Magento, Shopware, Drupal, Joomla en veel maatwerkapplicaties.
Onder securityonderzoekers wordt inmiddels de naam PHP2Shell gebruikt voor de kwetsbaarheden.
Wat is PHP2Shell?
De naam PHP2Shell verwijst naar het mogelijke gevolg van succesvolle exploitatie: een aanvaller stuurt een speciaal opgebouwde aanvraag naar een PHP-applicatie en kan vervolgens code uitvoeren op de server.
Hoe dit technisch precies werkt, is op het moment van schrijven nog niet officieel door PHP bevestigd. Er circuleren inmiddels wel demonstraties en informatie over een proof-of-concept.
Daarin wordt onder andere getoond dat een aanvaller mogelijk:
- authenticatie van applicaties zoals WordPress en Joomla kan omzeilen;
- gevoelige informatie uit een PHP-applicatie kan uitlezen, waarbij onder andere een Symfony-toepassing als voorbeeld is getoond;
- opdrachten kan uitvoeren vanuit het PHP-proces;
- een shell of webshell kan starten;
- aanvullende software of malware kan downloaden;
- informatie over de server en de omgeving kan verzamelen.
Dat betekent niet dat iedere PHP-website automatisch op al deze manieren kan worden aangevallen. De exacte voorwaarden waaronder CVE-2026-109618 en CVE-2026-109619 misbruikt kunnen worden, worden naar verwachting duidelijk zodra PHP de beveiligingsupdates en technische details publiceert.
Bij Remote Code Execution draait de code bovendien in beginsel met de rechten van het PHP-proces. Dat betekent niet automatisch dat een aanvaller direct volledige roottoegang tot een server heeft. De impact kan desondanks groot zijn, omdat PHP-processen doorgaans toegang hebben tot applicatiebestanden, configuratie en gegevens die voor de website nodig zijn.
Welke PHP-versies zijn kwetsbaar?
De definitieve lijst met kwetsbare PHP-versies is op het moment van schrijven nog niet door PHP gepubliceerd.
In de informatie die momenteel rondgaat, wordt gesproken over kwetsbaarheid vanaf PHP 5, waarbij sommige onderzoekers specifieker spreken over PHP 5.4 en nieuwer. Dit moet nog door het PHP-project zelf worden bevestigd.
Vooralsnog verwachten we dat upstream beveiligingsupdates alleen beschikbaar komen voor PHP-versies die momenteel officieel worden ondersteund:
- PHP 8.2 – ontvangt alleen nog beveiligingsupdates;
- PHP 8.3 – ontvangt alleen nog beveiligingsupdates;
- PHP 8.4 – actief ondersteund;
- PHP 8.5 – actief ondersteund.
Hoe ernstig is de kwetsbaarheid?
PHP beoordeelt beide kwetsbaarheden als kritiek met een CVSS v4.0-score van 9,2.
De oorspronkelijke bekendmaking stond later gepland, maar informatie over de kwetsbaarheden is voortijdig uitgelekt. Het PHP Security Team heeft daarom besloten de beveiligingsrelease naar voren te halen.
Op dit moment zijn er nog geen bevestigde berichten dat de kwetsbaarheden op grote schaal actief worden misbruikt. Omdat inmiddels informatie en demonstraties circuleren, verwachten securityonderzoekers wel dat aanvallers snel zullen proberen werkende exploits te ontwikkelen zodra de patches beschikbaar zijn.
PHP 8.1 en ouder zijn End of Life en ontvangen vanuit het PHP-project geen reguliere beveiligingsupdates meer.
Dat is bij een kwetsbaarheid die mogelijk al sinds PHP 5 aanwezig is extra belangrijk. Een oudere PHP-versie kan kwetsbaar blijken te zijn terwijl daarvoor geen officiële patch meer verschijnt.
Wat gaan wij doen?
Ons team volgt de ontwikkelingen rond CVE-2026-109618 en CVE-2026-109619 actief.
PHP verwacht de beveiligingsupdates vandaag vanaf 16.00 uur Nederlandse tijd beschikbaar te maken. Zodra de patches worden gepubliceerd, gaan wij deze direct uitrollen op onze managed servers. Wanneer PHP besluit eerder te publiceren, starten wij uiteraard ook eerder met het uitrollen van de updates.
Ondertussen worden diverse maatregelen onderzocht en toegepast die de kans op toepassing of impact van deze kwetsbaarheid beperken. Bijvoorbeeld het uitschakelen van session.upload_progress.enabled. Weinig websites zijn hiervan afhankelijk waardoor de impact beperkt is.
Onze engineers publiceren acties en maatregelen via onze statuspagina rootnet.network. Daar kun je je ook inschrijven voor informatie updates om op de hoogte te blijven.
Moet je zelf iets doen?
Voor het installeren van de PHP-securitypatches op onze managed servers hoef je niet zelf in actie te komen. Wij pakken deze updates op zodra ze beschikbaar zijn.
Wel adviseren we om te controleren of je applicaties gebruikmaken van een actief ondersteunde PHP-versie.
Gebruik je nog PHP 8.1 of ouder, dan is dit een goed moment om te onderzoeken of de applicatie kan worden bijgewerkt naar minimaal PHP 8.2. Oudere PHP-releases ontvangen upstream geen beveiligingsupdates meer. Mocht blijken dat CVE-2026-109618 en CVE-2026-109619 deze versies inderdaad treffen, dan kan daarvoor dus geen officiële PHP-patch beschikbaar komen.
We werken dit bericht bij zodra PHP de beveiligingsupdates, getroffen versies en verdere technische details heeft gepubliceerd.