Broadcom dicht kritieke PHP-lekken binnen het uur
Na het uitbrengen van een nood-update door de PHP Foundation heeft Broadcom binnen een uur gecorrigeerde en geharde PHP-software geleverd aan klanten van de TrueSource- en Bitnami-diensten. De snelle uitrol volgt op de publicatie van twee kritieke kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) in de populaire programmeertaal PHP, die kwaadwillenden in staat stellen om zonder authenticatie willekeurige code uit te voeren op kwetsbare servers.
De officiële vrijgave door de PHP Foundation vond plaats op 21 oktober, een dag eerder dan oorspronkelijk gepland doordat de CVE-identificatienummers voortijdig waren gelekt. Doordat het beveiligingsteam van Broadcom het dreigingslandschap actief volgde, kon het bedrijf direct handelen zodra de upstream-broncode beschikbaar kwam.
Coordinated disclosure en embargo's
Broadcom benadrukt dat het bij het verwerken van beveiligingslekken strikt vasthoudt aan het principe van verantwoorde en gecoördineerde openbaarmaking (coordinated disclosure). Hoewel vertrouwelijkheidsembargo's in de softwarewereld niet perfect zijn, stelt het concern dat dit het meest effectieve mechanisme blijft om gebruikers te beschermen.
Als beheerder van grote open-sourceprojecten zoals Spring, RabbitMQ en Bitnami publiceerde het Spring-team binnen Broadcom in 2026 al correcties voor 211 kwetsbaarheden over 35 projecten, wat leidde tot meer dan 1.000 gepatchte releases. In het geval van de recente PHP-lekken wachtte Broadcom tot de PHP Foundation de officiële fixes vrijgaf, om vervolgens binnen 60 minuten geharde images van PHP-versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit te rollen voor TrueSource Trusted Artifacts-klanten. De gratis Bitnami-images volgden dezelfde middag.
Geautomatiseerde uitrol via geharde pipelines
Voor organisaties die gebruikmaken van de minimale PHP-FPM-containerimages via TrueSource of Bitnami volstaat een hernieuwde uitrol (redeploy) om de beveiligingsupdates door te voeren, zonder dat dit tot onderbrekingen of incompatibiliteit leidt.
Daarnaast meldt Broadcom dat de kerncomponenten van het VMware Tanzu Platform en VMware Tanzu Data Intelligence niet door de specifieke PHP-kwetsbaarheden worden getroffen. Voor klanten die PHP-applicaties op het Tanzu Platform draaien, kwamen de gehercompileerde PHP Buildpacks op dezelfde dag beschikbaar. Zij kunnen de beveiligingsupdates met één enkel commando over hun gehele applicatieportfolio doorvoeren.
Hoewel de officiële serviceniveau-overeenkomst (SLA) van TrueSource uitgaat van een verwerkingstijd binnen twee werkdagen na een upstream-fix, laat dit incident zien dat de geautomatiseerde build- en testpipelines van het bedrijf in de praktijk aanzienlijk sneller reageren. Broadcom roept alle gebruikers van TrueSource, Bitnami en het VMware Tanzu Platform op om de nieuwste PHP-patches zo snel mogelijk te installeren.
Over Witold Kepinski
