Twee kritieke PHP-lekken: dit moeten websitebeheerders nu doen

Het Nederlandse Nationaal Cyber Security Centrum waarschuwt voor twee kritieke lekken in PHP, de programmeertaal achter veel websites en webtoepassingen. De officiële beveiligingsupdates worden woensdag 21 oktober om 16.00 uur Nederlandse tijd verwacht. Wie een internetbereikbare PHP-server beheert, moet nu al klaarstaan om die updates direct te installeren.

De kwetsbaarheden zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619. Ze kregen beide een ernstscore van 9,2 volgens CVSS 4.0. Volgens het NCSC is er een openbaar aanvalvoorbeeld beschikbaar, maar had de dienst bij de laatste controle nog geen actief misbruik waargenomen. De volledige technische details en de exacte getroffen en herstelde versies waren toen nog niet door het PHP-team gepubliceerd.

PHP-lekken in 60 seconden

• PHP is software die op een server draait en onder meer inloggen, formulieren en databaseverkeer kan verwerken.
• De twee lekken kunnen volgens het NCSC misbruik op afstand mogelijk maken, met volledige overname van een server als mogelijk gevolg.
• Alle versies vanaf PHP 5 zijn volgens het NCSC in ieder geval kwetsbaar. Het PHP-team publiceert de definitieve versielijst met de beveiligingsrelease.
• De updates worden om 16.00 uur Nederlandse tijd verwacht. Dat tijdstip kan worden vervroegd als de situatie verandert.
• Beheer je zelf geen server? Installeer dan geen willekeurige ‘noodreparatie’ of onbekende WordPress-uitbreiding. Vraag je hostingbedrijf wat het doet.

Wat moet je nu doen?

Het NCSC adviseert organisaties per systeem een risicoafweging te maken. Wanneer een internetbereikbare toepassing niet onmiddellijk kan worden bijgewerkt, kan tijdelijke isolatie of uitschakeling nodig zijn. CERT-EU geeft hetzelfde advies voor organisaties die een reparatie niet direct kunnen uitvoeren.

Waarom zijn deze lekken zo belangrijk?

PHP draait niet in de browser van een bezoeker, maar op de webserver. Daar verwerkt de software opdrachten en gegevens. Een aanvaller die via een lek eigen code op afstand kan uitvoeren, kan daardoor veel meer bereiken dan alleen een foutmelding veroorzaken. Mogelijke gevolgen zijn overname van de server, datalekken of het uitvallen van functies zoals inloggen.

Het NCSC schrijft dat misbruik mogelijk is met een eenvoudig webverzoek. De dienst noemt WordPress, Joomla, Drupal, Zabbix en Roundcube als voorbeelden van software die PHP gebruikt. Dat betekent niet dat iedere installatie van deze programma’s aantoonbaar is aangevallen. Het betekent wel dat beheerders moeten controleren welke PHP-versie er onder hun toepassing draait.

Geldt dit ook voor oudere PHP-versies?

Volgens het NCSC zijn alle versies vanaf PHP 5 in ieder geval kwetsbaar. Voor zover nu bekend worden alleen voor PHP 8 beveiligingsupdates verwacht. Wie nog PHP 5, 7 of een andere niet meer ondersteunde versie gebruikt, moet daarom rekening houden met een overstap naar een ondersteunde versie waarvoor een officiële reparatie beschikbaar komt.

Dat kan meer werk zijn dan één updateknop indrukken. Een website, uitbreiding of intern systeem kan afhankelijk zijn van verouderde code. Toch is blijven draaien zonder officiële reparatie bij een ernstig internetbereikbaar lek geen veilige eindoplossing. Een hostingprovider of systeembeheerder moet bepalen hoe de overstap technisch verantwoord kan worden uitgevoerd.

Uitgeschakeld betekent niet automatisch gehackt

Het NCSC haalde zijn eigen website tijdelijk uit voorzorg offline. Dat is een beschermingsmaatregel en geen bevestiging dat de website was binnengedrongen. Het verschil is belangrijk: een beheerder kan een systeem uitschakelen om de aanvalsmogelijkheid te verkleinen terwijl een reparatie wordt voorbereid.

Het NCSC meldde bij de laatste controle bovendien nog geen actief misbruik. Dat kan veranderen zodra meer technische details bekend worden. Daarom telt vooral de tijd tussen het verschijnen van de officiële update en het installeren ervan.

Wat weten we pas na 16.00 uur?

Het PHP-team publiceert met de beveiligingsupdate de volledige technische details, de precieze getroffen versies en de herstelde versies. Tot die tijd is het niet verantwoord om een specifiek versienummer als veilig te bestempelen.

Ook moet na de publicatie blijken welke hostingbedrijven en softwareleveranciers de reparatie direct doorvoeren. Feitvast controleert na 16.00 uur de officiële PHP-publicatie en werkt dit artikel bij met de exacte versienummers en eventuele aanvullende maatregelen.

Lees daarnaast ons overzicht van actuele Nederlandse cyberwaarschuwingen. Beheer je een WordPress-site, bekijk dan ook welke rol de server en uitbreidingen spelen in ons eerdere artikel over actief misbruik van een WordPress-lek.

Bronnen en bewijsgrens

De geplande releasetijd en beide ernstscores komen uit de officiële aankondiging van het PHP Security Team. De Nederlandse waarschuwing, de genoemde CVE-nummers, de mogelijke gevolgen, het openbare aanvalvoorbeeld en het handelingsadvies komen van het NCSC. CERT-EU adviseert organisaties eveneens om direct bij te werken of internetbereikbare toepassingen tijdelijk te isoleren als dat niet meteen kan.

De situatie is nog in beweging. Dit artikel stelt niet dat alle websites zijn gehackt of dat het NCSC actief misbruik heeft bevestigd. Het noemt ook nog geen veilige PHP-versie, omdat PHP die informatie pas met de beveiligingsrelease publiceert.