Kritieke PHP zero-day kwetsbaarheden: wat moet u weten?

21 oktober 2026 | Security Advisory | Kritiek

In PHP zijn twee kritieke kwetsbaarheden bekendgemaakt, geregistreerd als CVE-2026-109618 en CVE-2026-109619. Beide kwetsbaarheden hebben een CVSS v4.0-score van 9,2 en maken mogelijk remote code execution (RCE) zonder authenticatie mogelijk.

PHP wordt wereldwijd gebruikt voor miljoenen websites en bedrijfsapplicaties. Succesvolle exploitatie kan aanvallers in staat stellen om willekeurige code uit te voeren, gevoelige informatie te benaderen of onderliggende servers over te nemen.

Het PHP Security Team heeft aangekondigd op 21 oktober 2026 om 16:00 uur Nederlandse tijd beveiligingsupdates beschikbaar te stellen.

Wat is er gebeurd?

Op 20 oktober 2026 werd informatie over twee nog niet openbaar gemaakte PHP-kwetsbaarheden voortijdig gepubliceerd. Het PHP Security Team kondigde daarop een vervroegde beveiligingsupdate aan.

Volgens CERT-EU kunnen beide kwetsbaarheden mogelijk worden misbruikt om zonder authenticatie willekeurige code uit te voeren op kwetsbare systemen.

Voorlopige informatie wijst erop dat ook oudere PHP-versies, mogelijk vanaf PHP 5, kwetsbaar zijn. De exacte getroffen versies en voorwaarden voor exploitatie zijn nog niet officieel bevestigd.

De kwetsbaarheden bevinden zich in de PHP-runtime zelf. Hierdoor kunnen ook applicaties die gebruikmaken van WordPress, Drupal, Magento, Laravel en andere PHP-frameworks kwetsbaar zijn.

Wat kunt u doen?

Organisaties die PHP gebruiken, adviseren wij om hun systemen zo snel mogelijk te inventariseren en de beveiligingsupdates te installeren zodra deze beschikbaar zijn.

Wij adviseren de volgende maatregelen:

Inventariseer uw systemen: Breng PHP-installaties op webservers, in containers en binnen applicaties in kaart. Geef prioriteit aan systemen die vanaf het internet bereikbaar zijn.
Installeer beveiligingsupdates: Werk PHP bij naar een gepatchte versie zodra deze beschikbaar is. Herstart waar nodig PHP-FPM-services en bouw containerimages opnieuw op.
Pas tijdelijke mitigaties toe: Schakel PHP session upload progress uit door session.upload_progress.enabled = Off in te stellen. Dit verkleint het aanvalsoppervlak voor één van de kwetsbaarheden, maar biedt geen volledige bescherming.
Beperk de bereikbaarheid: Scherm beheerinterfaces en applicaties die niet publiek toegankelijk hoeven te zijn af van het internet.
Controleer op verdachte activiteiten: Onderzoek afwijkende HTTP-verzoeken, onverwachte procesuitvoering, ongebruikelijke uitgaande netwerkverbindingen en ongeautoriseerde wijzigingen aan applicatiebestanden.

Tijdelijke mitigatie: PHP session upload progress uitschakelen

Een van de aanbevolen tijdelijke maatregelen is het uitschakelen van de session upload progress-functionaliteit van PHP. Dit kan via de volgende instelling in php.ini:

session.upload_progress.enabled = Off

Herstart vervolgens de betreffende PHP-service om de configuratiewijziging actief te maken.

Let op: Deze maatregel verkleint slechts een deel van het aanvalsoppervlak. De mitigatie verhelpt niet beide kwetsbaarheden en is geen vervanging voor de officiële beveiligingsupdates.

Hoe kan DeepBlue helpen?

DeepBlue Security & Intelligence ondersteunt organisaties bij het identificeren van kwetsbare systemen, het beoordelen van beveiligingsrisico’s en het onderzoeken van mogelijke compromittering.

Onze specialisten op het gebied van penetratietesten en incident response kunnen helpen bij het identificeren van kwetsbare PHP-installaties, het controleren van beveiligingsmaatregelen en het onderzoeken van mogelijke indicatoren van compromittering (IoC’s).

Wilt u weten of uw infrastructuur kwetsbaar is of heeft u ondersteuning nodig? Neem contact op met DeepBlue Security & Intelligence.

Bronnen

Dit artikel is gebaseerd op de informatie die op 21 oktober 2026 beschikbaar was. Technische details en beveiligingsadviezen kunnen wijzigen zodra aanvullende informatie wordt gepubliceerd.