CERT-EU roept op tot actie voor aanstaande PHP-beveiligingsupdates

De waarschuwing volgt op de aankondiging van een buitengewone beveiligingsrelease door de PHP Foundation. Hoewel er nog geen officiële technische details zijn vrijgegeven, wijzen berichten van beveiligingsonderzoekers en gelekte informatie op een ernstig risico.

Hoge CVSS-score en breed bereik

De twee gerapporteerde kwetsbaarheden, geregistreerd onder de kenmerken CVE-2026-109618 en CVE-2026-109619, hebben beide een CVSS-score van 9.2 toegewezen gekregen. Een dergelijk hoge score duidt op de mogelijkheid dat kwaadwillenden zonder authenticatie op afstand controle kunnen overnemen van kwetsbare servers.

Volgens de eerste analyses kunnen de kwetsbaarheden van invloed zijn op vrijwel alle PHP-installaties vanaf versie PHP 5 en hoger. Gezien het brede gebruik van de scripttaal op de achtergrond van miljoenen websites en webapplicaties, is de potentiële impact op het internetlandschap omvangrijk.

Advies: voorbereiden op directe patching

Het PHP-ontwikkelteam heeft de vrijgave van de herstel-updates gepland voor woensdag 21 oktober om 14:00 uur UTC (16:00 uur Nederlandse tijd).

CERT-EU beveelt organisaties dringend aan om alle PHP-gebaseerde toepassingen in kaart te brengen en voorbereidingen te treffen om de updates direct na beschikbaarheid te installeren. Voor situaties waarin onmiddellijk patchen niet mogelijk is, adviseert de EU-cyberbeveiliger om publiek toegankelijke internettoepassingen tijdelijk te isoleren van het netwerk totdat de beveiligingsupdate is doorgevoerd.