Twee kritieke PHP-kwetsbaarheden: hoe beschermt u uw website?

De beveiligingsadviezen van PHP beschrijven CVE-2026-109618, die de afhandeling van een geheugentekort betreft, en CVE-2026-109619, waarbij een interne toestand tussen verzoeken behouden blijft. Beide zijn als kritiek geclassificeerd, met een CVSS v4-score van 9,2 op 10. Succesvol misbruik kan het mogelijk maken om zonder authenticatie code uit te voeren op een kwetsbare server.

Het risico betreft PHP-installaties die webverzoeken verwerken, waaronder PHP-FPM, Apache met mod_php, CGI, FrankenPHP en LiteSpeed. De voorwaarden voor misbruik verschillen per omgeving. CERT-FR meldde op 22 oktober dat er proof-of-concepts bestaan voor bepaalde configuraties; daaruit valt niet af te leiden hoeveel websites daadwerkelijk zijn gecompromitteerd.

Op 23 oktober 2026 schat W3Techs dat PHP wordt gebruikt door 69,3% van de websites waarvan de programmeertaal aan de serverzijde bekend is. Die afbakening is belangrijk: het gaat niet om alle websites op het web, en ook niet om een inventarisatie van installaties die nog kwetsbaar zijn.

Voor uw bedrijf draait de relevante vraag daarom om uw eigen installatie. Een WordPress-logo, een pagina die normaal reageert of een versie die een openbaar hulpmiddel toont, is niet voldoende om te bevestigen dat beide patches zijn toegepast.

Het PHP-project publiceerde de onderstaande versies op 21 oktober 2026. Gebruikt u een installatie die rechtstreeks door PHP wordt geleverd, controleer dan uw versiereeks en installeer een herstelde versie binnen die reeks, of een latere versie die geschikt is voor uw applicatie.

Linux-distributies kunnen een patch terugporteren zonder dat versienummer over te nemen. Ubuntu heeft beide CVE’s bijvoorbeeld verholpen in pakket 8.3.6-0ubuntu0.24.04.13 voor Ubuntu 24.04. Vraag naar de volledige pakketversie en het bijbehorende beveiligingsadvies van de leverancier voordat u conclusies trekt op basis van alleen het PHP-versienummer.

PHP 8.1 en oudere versiereeksen vallen niet meer onder de algemene ondersteuning van het PHP-project. Er bestaan gerichte backports, maar daarmee wordt die ondersteuning niet hersteld: controleer wat uw leverancier ondersteunt en bereid een compatibele migratie voor. De ondersteuning voor PHP 8.2 eindigt op 31 december 2026.

Bepaal eerst wie de PHP-omgeving kan aanpassen. Bij gedeelde hosting is dat doorgaans de hostingprovider. Bij een server die uw bedrijf zelf beheert, stemt u de werkzaamheden af met uw technisch verantwoordelijke of beheerpartner. De partij die uw webpagina’s aanpast, heeft niet noodzakelijk toegang tot de server.

WordPress, de plugins, het thema en PHP zijn afzonderlijke onderdelen. Een bijgewerkt WordPress-dashboard bevestigt niet dat de PHP-omgeving is gepatcht. Beide lagen hebben onderhoud nodig, met een compatibiliteitscontrole voordat u naar een andere PHP-versiereeks overstapt.

PHP geeft aan dat geen enkele beperkende maatregel volledige bescherming biedt als vervanging voor een update. CERT-FR beschrijft tijdelijke, niet-gevalideerde noodmaatregelen: sommige verkleinen slechts een deel van het aanvalsoppervlak en kunnen websitefuncties verstoren. Een webapplicatiefirewall kan bijdragen aan tijdelijke bescherming, maar vervangt de patch niet.

Als direct herstel onmogelijk is, bepaal dan samen met de hostingverantwoordelijke welke beperkingen of tijdelijke isolatie nodig zijn. Bij tekenen van een inbraak bewijst een update alleen niet dat de server schoon is: bewaar de beschikbare logbestanden en laat het incident onderzoeken.

Goed onderhoud laat begrijpelijke documentatie achter: welke onderdelen worden beheerd, wie verantwoordelijk is, welke werkzaamheden zijn uitgevoerd en welke controles zijn gedaan. Het houdt ook rekening met de vervanging van versies waarvan de ondersteuning eindigt. Zonder deze afspraken kan een waarschuwing aan het licht brengen dat niemand meer weet hoe de hostingomgeving van een website moet worden bijgewerkt.

Vraag om een schriftelijke afbakening: PHP en besturingssysteem, CMS en plugins, maatwerkcode, back-ups, hersteltests en monitoring. Leg vast wie meldingen ontvangt en wie urgente ingrepen goedkeurt. Het beoogde resultaat is een bruikbare, gedocumenteerde procedure; geen enkele dienst kan garanderen dat er nooit kwetsbaarheden zijn.

Weet u niet welke versie op uw website draait, wie PHP beheert of welke updates voorrang moeten krijgen? Met een technische audit van Oryon brengen we de afgesproken omgeving in kaart, rangschikken we de risico’s en stellen we maatregelen voor. De audit en de uitvoering van de correcties zijn diensten waarvan de omvang afzonderlijk moet worden bepaald.

Voor Linux-servers combineert ons beheer inventarisatie, updates, monitoring en back-ups met geteste herstelprocedures. Voor WordPress-websites omvat onze ondersteuning onder meer overname, beveiliging en onderhoud, met voorbereiding en controles volgens de offerte. Samen bepalen we welke verantwoordelijkheden bij de hostingprovider, de website en de maatwerkcode horen.

Vermeld ter voorbereiding op het gesprek het websiteadres, uw hostingprovider, het CMS als u dat kent en de reactie die u al over deze twee CVE’s hebt ontvangen. Stuur geen wachtwoorden via het contactformulier. Zo kunnen we de controles en werkzaamheden afstemmen op uw situatie.