Kritieke PHP-fouten dwingen overheidssites offline vóór noodpatch

PHP's ontwikkelingsteam plantte een buitenprogrammamatige beveiligingsrelease voor 14:00 UTC op 21 oktober 2026 om twee kritieke kwetsbaarheden op te heffen nadat details een dag eerder online waren uitgelekt, volgens The Hacker News en beveiligingsbedrijf Sansec. De gebreken werden geregistreerd als CVE-2026-109618 en CVE-2026-109619 en werden informeel door onderzoekers "PHP2Shell" genoemd, een naam die PHP's eigen team niet aannam, aldus The Hacker News.

Wat zijn de kwetsbaarheden

Volgens Sansec's technisch rapport is CVE-2026-109618 een use-after-free-bug in PHP's upload-progress-verwerking die servergeheugen kan lekken – inclusief wachtwoorden, sessietokens en TLS-privésleutels – via het PHPSESSID-cookie, op een manier die het bedrijf vergeleek met de Heartbleed-bug van 2014. CVE-2026-109619 is een aparte use-after-free die wordt geactiveerd wanneer een fatale fout optreedt tijdens geheugenuitputting, gecombineerd met typeverwarring in PHP's OPcache, wat Sansec zei uitvoering van externe code mogelijk maakt. Beide bugs worden bereikt via multipart/form-data-aanvragen, het formaat dat webpagina's gebruiken voor bestandsuploads.

Het Britse National Cyber Security Centre (NCSC) beschreef het risico in zijn advies van 21 oktober als het toestaan voor een aanvaller om "opdrachten uit te voeren op elke webserver waarop PHP wordt uitgevoerd" zonder zich hoeven aan te melden, en beoordeelde de zaak als kritiek.

Waarom overheden en platforms offline gingen

Omdat PHP ten grondslag ligt aan een groot deel van het web, kozen verschillende organisaties ervoor om openbare sites offline te halen in plaats van op de patch te wachten. Techzine meldde dat Nederlandse overheidsservices waaronder MijnOverheid, DigiD en parlamentaire systemen tijdelijk offline werden genomen, en het nieuwsbericht van KSL stelde dat cyberbeveiligingsinstanties in Nederland en Finland overheidssites als voorzorgsmaatregel offline haalden. Techzine meldde ook dat het Britse NCSC en de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) waarschuwingen uitvaardigen waarin beheerders werden opgeroepen om getroffen systemen te patchen of uit te schakelen, terwijl Wikipedia en Meta doordraaien door aangepaste PHP-runtimes en web-application-firewall-regels toe te passen in plaats van offline te gaan.

Sansec meldde dat PHP core-ontwikkelaar Gina Peter Banyard het offline halen van servers voordat de patch arriveerde beschreef als de meest verstandige optie voor organisaties die niet onmiddellijk een fix konden toepassen – een advies dat verschillende Nederlandse instanties opvolgden.

Cloudflare zei dat het begon exploitatiepogingen te zien voordat de officiële patch werd uitgebracht. Volgens het KSL-rapport zei de Chief Technology Officer van Cloudflare dat het bedrijf vroege aanvallen observeerde en zijn mitigaties voortdurend bijwerkte naarmate nieuwe aanvalsmethoden verschenen, stellende dat Cloudflares bescherming een tijdelijke noodmaatregel was tot PHP's officiële fix arriveerde. Sansec meldde afzonderlijk dat Cloudflare aanvallen detecteerde vanaf 07:43 UTC op 21 oktober, ongeveer zes uur voordat PHP's geplande fix.

• WordPress, Drupal, Joomla en Magento, de content-management- en e-commerce-systemen gebouwd op PHP
• Specifieke versies genoemd door Sansec als bevestigd kwetsbaar: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 en Symfony 8.1
• Gedeelde hostingplatforms en bedieningspanelen die PHP bundelen, volgens het NCSC-advies
• Nederlandse overheidsservices DigiD en MijnOverheid, volgens Techzine

Omvang van blootstelling: schattingen variëren

Wat staat vast en wat niet

PHP's team bevestigde dat PHP 8.2, 8.3, 8.4 en 8.5 officiële fixes zouden ontvangen – verwacht worden versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35, volgens The Hacker News – terwijl einde-van-leven branches 8.1 en ouder niet door de leverancier zouden worden gepatcht. Sansec zei echter dat de onderliggende gebrekkige code dateert van PHP 5.4.0, wat betekent dat veel oudere, niet-ondersteunde installaties waarschijnlijk kwetsbaar blijven zonder beschikbare officiële fix. Volgens The Hacker News was geen openbare proof-of-concept-exploit beschikbaar vanaf zijn rapport op 21 oktober, en waren de gebreken op dat moment niet toegevoegd aan CISA's Known Exploited Vulnerabilities-catalogus – hoewel Cloudflares latere verklaring aangaf dat aanvalspogingen al aan de gang waren.

Achtergrond: hoe de gebreken werden gevonden

Sansec's tijdlijn herleid de eerste bug naar onderzoek dat op 1 augustus 2026 begon door een onderzoeker met de handle "Calif" werkend met OpenAI, die het op 11 augustus aan PHP's beveiligingsteam meldde. Een tweede, gerelateerd rapport kwam van het Wiz Research-team – genoemd door Sansec als Sagi Tzadik, Shir Tamari, Nir Ohfeld en Tomer Schwartz – op 24 augustus. Sansec zei dat beide onderzoeksteams AI-modellen crediteerden met het versnellen van het werk van het vinden en aanpassen van exploits in alle PHP-versies, met een onderzoeker die vermoedelijk werkend exploitatie bereikte in ongeveer een week. Details van de gecoördineerde, onder embargo staande openbaarmaking werden publiekelijk gelekt op 20 oktober, wat PHP ertoe aanzette zijn aankondiging naar voren te brengen en de release van de patch op 21 oktober in te stellen.