Ernstige kwetsbaarheden in PHP: bereid je voor op patchen

Dit is een bericht van het Nationaal Cyber Security Centrum (NCSC).

Er zijn twee kritieke kwetsbaarheden gevonden, CVE-2026-109618 en CVE-2026-109619, in PHP: Hypertext Preprocessor. Deze kwetsbaarheden zijn vermoedelijk aanwezig in alle huidige versies van PHP, maar in ieder geval vanaf versie 5. Deze kwetsbaarheden maken het mogelijk voor kwaadwillenden om op afstand een remote code execution (RCE) uit te voeren. Het gevolg daarvan kan zijn dat de (web)servers overgenomen kunnen worden en websites niet meer toegankelijk zijn, gegevens worden gelekt of dat bepaalde functionaliteiten zoals inloggen niet meer mogelijk is. Er is een publieke Proof of Concept (PoC)- code beschikbaar, maar het NCSC heeft nog geen actief misbruik gesignaleerd. Wel adviseert het NCSC nadrukkelijk om alvast voorbereidingen te treffen op een komende patch op 21 oktober 16:00 Nederlandse tijd. Dit tijdstip kan eventueel worden vervroegd. Verdere details worden tijdens de release van de patch bekend gemaakt.

Welke versies zijn kwetsbaar?

Alle versies vanaf versie 5 zijn in ieder geval kwetsbaar. Daarmee zijn alle producten en componenten waar PHP in zit of wat gebruik maakt van PHP in potentie kwetsbaar.

Wat voor soort product is het?

PHP is een programmeertaal waarmee websites en webapplicaties worden gebouwd. Deze programmeertaal wordt voornamelijk gebruikt voor de backend van websites, en zorgt ervoor dat een website niet alleen informatie toont, maar ook daadwerkelijk iets kan doen. Het draait op de server en verwerkt gegevens en opdrachten. Het zorgt ervoor dat men kan inloggen, voert betalingen uit en communiceert met databases. Veel andere bekende software zoals WordPress, Joomla, Drupal, Zabbix en Roundcube maken gebruik van PHP. Ook wordt het gebruikt in netwerkapparaten en enterprise hardware, IoT-dashboarding en vrijwel alle soorten van alle soorten embedded webinterfaces waar beheerders toegang hebben tot apparaatinstellingen via een browser. De schaal van producten die deze kwetsbaarheden bevatten is enorm.

Hoe kan de kwetsbaarheid misbruikt worden?

Door middel van een eenvoudig POST-request kunnen de kwetswaarheden misbruikt worden. Deze request kan leiden tot een een Remote Code Executie (RCE).

Wat kan het gevolg zijn van de kwetsbaarheid?

Organisaties die PHP gebruiken op hun webservers lopen een zeer hoog risico op volledige overname van het systeem door externe aanvallers.

Wat kun je doen?

Het NCSC adviseert om nu alvast voorbereidingen te treffen zodat de patch zo snel mogelijk geinstalleerd kan worden zodra deze beschikbaar is.

PHP publiceert om 16:00 uur updates om de kwetsbaarheden te verhelpen. Deze updates zijn voor zover bekend echter uitsluitend voor PHP versie 8. Overweeg End-Of-Life versies te upgraden naar versies waar patches voor beschikbaar zijn.

Voer deze updates zodra ze beschikbaar komen direct door. Zolang dat niet gebeurt is ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar.

Daarnaast zal PHP enkele mitigerende maatregelen beschikbaar stellen. Deze zijn echter niet voldoende om de kwetsbaarheden weg te nemen en kunnen bij pogingen tot misbruik leiden tot Denial of Service (DoS), waardoor de werking van het systeem wordt verstoord.

Het NCSC adviseert totdat de kwetsbaarheden verholpen zijn, een risisocafweging te maken per systeem dat PHP gebruikt en aan het internet hangt of aanvullende maatregelen noodzakelijk is, zoals het uitschakelen van het systeem.

Bij veel van deze producten zal de gebruiker afhankelijk zijn van de vendor om te updaten naar de nieuwste versie van PHP.

Houd hier de site van PHP Security Team in de gaten.

Website NCSC offline

Vanwege de kwetsbaarheden in PHP hebben wij uit voorzorg onze website (NCSC.NL) tijdelijk offline gehaald. We werken hard aan een oplossing en doen er alles aan om de website zo snel mogelijk weer beschikbaar te maken. Voor actuele informatie kun je terecht op advisories.ncsc.nl. In de tussentijd kun je ook voor nieuws, updates of vragen terecht op onze LinkedIn-pagina en de NCSC Community. Organisaties die gebruik maken van onze CSIRT-dienstverlening kunnen terecht op MijnNCSC.

Vragen van de pers worden behandeld door de woordvoerders en persvoorlichter van het NCSC:

Roger Kaemingk - woordvoerder Tel: + 31 6 31 10 51 89 Mail: pers@ncsc.nl

Georgine Aerts - persvoorlichter Tel: +31 6 29 69 15 00 Mail: pers@ncsc.nl Aanwezig: ma-di-wo-do

Voor spoedeisende vragen buiten kantooruren kun je contact opnemen via: 070 751 55 30.