Groot risico op serverovername door dubbel PHP-lek
Het PHP-project heeft een dringende beveiligingsupdate aangekondigd voor twee ernstige lekken in de veelgebruikte programmeertaal PHP. De kwetsbaarheden, geregistreerd onder de nummers CVE-2026-109618 en CVE-2026-109619, hebben beide een maximale ernstscore van 9,2 op een schaal van 10 gekregen. Omdat de technische details van de lekken al uitlekten voordat de officiële pleisters beschikbaar waren, waarschuwt cybersecuritybedrijf Eye Security voor een potentieel grote impact op websites, API's en bedrijfskritische toepassingen.
Het probleem bevindt zich in de kern van de PHP-software zelf en niet in specifieke contentmanagementsystemen of plug-ins. "Dit is geen probleem dat je oplost door alleen WordPress of plugins bij te werken," verduidelijkt Vaisha Bernard, Chief Hacker bij Eye Security. "De kwetsbaarheid zit in PHP zelf, de software waarop de website draait. Organisaties moeten de PHP-versie van hun publieke websites controleren en de officiële update installeren zodra die beschikbaar is."
Risico op aanval op afstand zonder inloggen
Volgens voorlopige berichten stellen de lekken een kwaadwillende in staat om vanaf een externe locatie willekeurige opdrachten uit te voeren op de server, zonder dat daarvoor inloggegevens nodig zijn. Dit geeft een aanvaller mogelijk de gelegenheid om de normale inlogbeveiliging te omzeilen, websites te veranderen, achterdeurtjes te installeren of toegang te krijgen tot gekoppelde databases met gevoelige informatie.
Bernard schetst de mogelijke gevolgen van misbruik: "Als een aanvaller een kwetsbare server weet te misbruiken, kan deze een website verstoren of aanpassen. Ook kunnen gegevens die op die server beschikbaar zijn risico lopen. Het kan ook dat een aanvaller alleen een achterdeurtje plaatst voor later gebruik."
Advies aan organisaties: tijdelijk isoleren
Op het moment van publicatie waren er nog geen bevestigde meldingen van actieve aanvallen op grote schaal, maar expertgroepen benadrukken dat dit snel kan veranderen. Omdat grote overheden en banken eigen beveiligingsteams inzetten, wil Eye Security met name middelgrote organisaties aansporen om snel te handelen.
Eye Security adviseert bedrijven om internetgerichte PHP-systemen tijdelijk offline te halen of de toegang af te schermen voor onbevoegden totdat de officiële beveiligingsupdate van het PHP-project is geïnstalleerd. "Voor websites met PHP die vanaf het internet bereikbaar zijn, is het verstandig de toegang tijdelijk te beperken of de site offline te halen totdat de officiële update is toegepast," besluit Bernard. "Controleer na de update ook dat de website daadwerkelijk de bijgewerkte versie gebruikt en of er niet al misbruik van is gemaakt."
Meer over Security
Over Witold Kepinski
