Kritieke kwetsbaarheden in PHP: wat betekent dit voor uw website?

Websites en webapplicaties die gebruikmaken van PHP hebben te maken met een ernstige beveiligingsdreiging. In de populaire programmeertaal zijn twee kritieke kwetsbaarheden ontdekt die mogelijk misbruikt kunnen worden om op afstand code uit te voeren op een kwetsbare server.

Beide kwetsbaarheden hebben een officiële CVSS-score van 9,2 op een schaal van 10. Het PHP Security Team heeft aangekondigd op 21 oktober 2026 om 14.00 UTC (10.00 uur lokale tijd op Aruba, Curaçao en Bonaire) een beveiligingsupdate uit te brengen. Organisaties worden opgeroepen zich voor te bereiden, zodat zij zo snel mogelijk kunnen updaten.

De situatie is extra urgent omdat meerdere hostingpartners al signalen van actieve uitbuiting hebben ontvangen. Ook Cloudflare ziet al vroege aanvallen.

Wat is er precies aan de hand?

PHP is een veelgebruikte programmeertaal voor websites en webapplicaties. Onder andere WordPress is in PHP geschreven. Ongeveer zeven op de tien websites waarvan de serverside programmeertaal bekend is, gebruiken PHP.

Op 20 oktober maakte het PHP-team bekend dat er een belangrijke securityrelease aankomt voor twee kritieke kwetsbaarheden. Details over getroffen en gepatchte versies worden samen met de release gepubliceerd. Volgens CERT-EU kunnen de kwetsbaarheden mogelijk leiden tot het op afstand uitvoeren van code zonder authenticatie. Dat maakt de situatie bijzonder ernstig.

Wat kan een aanvaller hiermee?

Het grootste risico is Remote Code Execution (RCE): een aanvaller kan mogelijk op afstand eigen code laten uitvoeren op het kwetsbare systeem. CERT-EU meldt dat het gaat om CVE-2026-109618 en CVE-2026-109619. Nog niet alle technische details zijn openbaar, dus wees voorzichtig met informatie en workarounds die online rondgaan.

Niet alleen WordPress loopt risico

De kwetsbaarheid zit in PHP zelf, niet in WordPress of een specifieke plug-in. Ook omgevingen als Drupal, Magento, Joomla en Laravel kunnen risico lopen wanneer ze een kwetsbare PHP-versie gebruiken. Kijk dus verder dan uw openbare bedrijfswebsite, bijvoorbeeld naar test- en stagingomgevingen en andere diensten die vanaf internet bereikbaar zijn.

Een volledig bijgewerkte WordPress-site met de nieuwste plug-ins betekent niet automatisch dat de PHP-versie op de server veilig is. Gebruikt u managed hosting? Vraag uw hostingprovider hoe en wanneer de update wordt toegepast.

Wat moet u nu doen?

1. Breng uw PHP-omgevingen in kaart. Kijk ook naar interne en minder zichtbare applicaties.
2. Bepaal welke systemen vanaf internet bereikbaar zijn.
3. Overweeg tijdelijk isoleren. Kunt u een systeem niet direct patchen, dan adviseert CERT-EU om het van het openbare internet af te halen tot de fix is toegepast. Maak hierbij een risicoafweging: een bedrijfskritische webshop uitzetten heeft grote gevolgen.
4. Bereid de update alvast voor. Weet wie verantwoordelijk is, welke applicaties geraakt worden en welke omgevingen u na de update moet controleren.
5. Installeer de officiële update zo snel mogelijk zodra de gepatchte versies beschikbaar zijn.
6. Controleer na het patchen of alles correct werkt.
7. Onderzoek verdachte activiteit wanneer monitoring of logs daar aanleiding toe geven, en behandel dat als beveiligingsincident.
8. Volg de officiële berichtgeving van PHP en beveiligingsautoriteiten.

Wacht niet tot een kwetsbaarheid wordt misbruikt

Deze kwetsbaarheden laten zien hoe snel een digitaal risico kan escaleren. De bredere les: weet welke software u gebruikt, leg vast wie verantwoordelijk is voor updates en heb een plan klaar voor situaties waarin een systeem tijdelijk niet veilig online kan blijven.

Twijfelt u of uw omgeving geraakt wordt? Onze specialisten op Aruba, Curaçao en Bonaire denken graag met u mee.