De ontwikkelaars van PHP waarschuwen voor twee kritieke kwetsbaarheden in de programmeertaal. Daarvoor verschijnen op woensdag 21 oktober om 14.00 uur UTC beveiligingsupdates. Beide kwetsbaarheden hebben een CVSS v4.0-score van 9,2 op een schaal van 10.
PHP wordt gebruikt voor een groot aantal websites en webapplicaties. De ontwikkelaars adviseren beheerders om vooraf vast te stellen welke systemen PHP gebruiken en klaar te staan om de updates direct te installeren. De beveiligingsupdates kunnen eerder beschikbaar komen als details over de kwetsbaarheden uitlekken of als er aanwijzingen zijn voor misbruik.
Mogelijke exploit in omloop
De waarschuwing volgt op de verspreiding van onbevestigde informatie over een aanvalsmethode met de naam PHP2Shell. In een video zou te zien zijn hoe de methode code uitvoert op servers met verschillende bekende webplatforms. Daarbij worden onder meer WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel, Drupal 11.4.10 en WHMCS 9.0.9 genoemd.
De twee kwetsbaarheden zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619. Beveiligingsbedrijf watchTowr zegt dat de problemen alle PHP-versies vanaf PHP 5 kunnen raken. Die versie verscheen in 2004. De informatie over de aanval en de reikwijdte van de kwetsbaarheden is nog niet volledig bevestigd door het PHP-team.
Onderzoekers van Sansec verwachten dat aanvallen snel kunnen toenemen zodra de details en updates openbaar worden. Ook andere beveiligingsbedrijven hebben beheerders opgeroepen zich voor te bereiden. Het PHP-team schrijft in zijn aankondiging: “Alle PHP-gebruikers wordt aangeraden zich nu voor te bereiden, zodat zij kunnen upgraden zodra de release beschikbaar is.”
Beheerders wordt aangeraden een overzicht te maken van alle toepassingen die PHP gebruiken, verantwoordelijkheden binnen de organisatie vast te leggen en een onderhoudsvenster te plannen. Ook zijn recente back-ups van websites en databases belangrijk. Organisaties kunnen daarnaast niet-essentiële systemen tijdelijk uitschakelen en PHP.net in de gaten houden voor een eerdere release of nieuwe instructies.
