← Alle artikelen

Kritieke PHP-lekken: uw website is geraakt (21-10-2026)

Gepubliceerd op 22 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Twee kritieke kwetsbaarheden in PHP, de motor onder de meeste mkb-websites, maken het uitvoeren van code op afstand zonder authenticatie mogelijk. De fixes kwamen op 21 oktober 2026 uit. Wat u deze week controleert, en wat nooit meer wordt gerepareerd.

In het kort

Op 20 oktober 2026 deed het securityteam van PHP iets wat het zelden doet: een kritieke release vooraf aankondigen, zodat iedereen zich kon voorbereiden. De update verhelpt twee kwetsbaarheden, beide beoordeeld met 9,2 van de 10 volgens CVSS v4.0^[1]. De fixes kwamen op 21 oktober 2026 uit in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35^[3]. Beide lekken — CVE-2026-109618 en CVE-2026-109619 — maken het mogelijk zonder authenticatie op afstand willekeurige code uit te voeren^[4][5][6].

Waarom een PHP-lek uw website raakt, ook als u niets met PHP doet

Bijna geen mkb-bedrijf heeft ooit bewust voor PHP gekozen. Het is simpelweg de motor onder WordPress, Drupal, Joomla, Adobe Commerce (Magento), Nextcloud en onder een groot deel van de intranetten, extranetten en klantportalen die op maat zijn gebouwd. U ziet PHP nooit, maar het draait bij elk bezoek aan uw site.

Het NCSC is er duidelijk over: alle PHP-installaties die webverzoeken verwerken zijn getroffen^[4]. CERT-EU voegt toe welke opstellingen dat concreet zijn: PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed — waarbij het PHP-team mod_php als het grootste risico ziet^[3]. En dan het punt dat voor een mkb-bedrijf alles verandert: de aanval slaagt voordat uw eigen applicatiecode ook maar begint, met een enkel ongeauthenticeerd verzoek^[3]. Geen inlogpagina, geen securityplug-in en geen sterk wachtwoord staat ertussen. Dit is geen WordPress-lek; dit is een lek onder WordPress.

De twee lekken, zonder jargon

CVE-2026-109618 (RCE via OOM corruption, 9,2)^[5]: PHP breekt een verzoek hard af zodra het de ingestelde geheugenlimiet overschrijdt. Dat afbreken kan gebeuren terwijl de interne requestgegevens nog maar half zijn geïnitialiseerd — bijvoorbeeld tijdens het verwerken van een formulier met een bestandsupload. De opruimstap behandelt die ongeldige gegevens vervolgens als geldig en geeft geheugen vrij dat nooit is geïnitialiseerd, geheugen dat nog data kan bevatten die de aanvaller zelf koos^[3][4].

CVE-2026-109619 (RCE via stale global state, 9,2)^[6]: interne globale status van een verzoek blijft achter nadat het bijbehorende geheugen is vrijgegeven, bijvoorbeeld na een fatale fout. Een volgend verzoek dat door dezelfde worker wordt verwerkt, kan die verouderde status gebruiken voordat de normale initialisatie hem opnieuw zet^[4].

Een eerlijke noot over misbruik: op het moment van schrijven meldt geen van de adviezen die wij hebben gelezen bevestigd misbruik in het wild. CERT-EU schrijft wel dat de technische details nu publiek worden besproken en dat de eerste proofs of concept circuleren, waardoor het waarschijnlijk is dat aanvallers de lekken al misbruiken. Het advies is: onmiddellijk patchen^[3].

De valkuil: versies die nooit een fix krijgen

Dit is het echte slechte nieuws voor kleinere bedrijven. CERT-FR noemt PHP alle versies 5.x, 6.x, 7.x, 8.0.x en 8.1.x als getroffen — takken die de uitgever niet meer ondersteunt — en adviseert de betrokken systemen te isoleren en daarna te migreren naar een ondersteunde versie^[2].

PHP-tak	Herstelde versie	Status
8.5.x	8.5.12	ondersteund
8.4.x	8.4.27	ondersteund
8.3.x	8.3.36	ondersteund
8.2.x	8.2.35	ondersteund
8.1.x en ouder (8.0.x, 7.x, 6.x, 5.x)	geen	end of life, geen fix

Draait uw site op PHP 7.4 of 8.1, nog altijd gewoon bij sites die een paar jaar terug zijn opgeleverd en sindsdien niet meer zijn aangeraakt, dan is er geen patch om te installeren. Het is geen security-update meer maar een migratie: compatibiliteit van plug-ins en thema, een testomgeving, soms aanpassingen in de code. Reken op weken, niet op uren. Precies daarom is de PHP-versie die uw leverancier serveert geen technisch detail dat u ongecontroleerd kunt laten: lees wat de externe toegang van uw IT-leverancier werkelijk blootlegt en het geval van zelf gehoste tools als Jira en Confluence, waar dezelfde vraag speelt: wie is verantwoordelijk?

De tijdelijke maatregelen van CERT-FR, en hun grens

CERT-FR geeft twee mitigaties en zegt er zelf bij dat die niet gekwalificeerd zijn door de eigen diensten^[2]:

• zet in php.ini het volgen van uploadvoortgang uit: session.upload_progress.enabled = Off; draait PHP-FPM, zet dan ook php_admin_flag[session.upload_progress.enabled] = off. Lees dit stuk twee keer: de maatregel verkleint het aanvalsoppervlak tegen slechts één van de twee kwetsbaarheden^[2];
• blokkeer elk HTTP-verzoek met een Content-Type-header op multipart; kan blokkeren niet, monitor dan dat type verzoek. Beide maatregelen kunnen op een web application firewall (WAF) worden gezet^[2].

Let op het neveneffect: multipart blokkeren breekt ook legitieme uploads — contactformulieren met bijlage, documenten aanleveren, de mediabibliotheek. Test het buiten productie voordat u het aanzet, en houd het scherp in de gaten als een formulier uw aanvragen binnenbrengt.

Vier landen, dezelfde versies, andere autoriteiten

De versienummers die u moet halen zijn identiek in Nederland, België, Frankrijk en Luxemburg. Wat verschilt, is wie het advies publiceert en wie u na een incident moet melden.

• Nederland: advies NCSC-2026-0443 van 21 oktober 2026, ingeschaald als hoog/hoog^[4].
• Frankrijk: CERT-FR-waarschuwing CERTFR-2026-ALE-014 van 21 oktober 2026, met als risico het uitvoeren van willekeurige code op afstand^[2].
• België: het CCB (CERT.be) is de nationale autoriteit om te volgen; de herstelde versies zijn dezelfde.
• Luxemburg: CERT-EU-advies 2026-018 van 21 oktober 2026 is de referentie die in alle vier landen leesbaar is^[3].

Valt uw organisatie onder NIS2, dan kan een significant incident via dit lek uw meldplicht bij de nationale autoriteit in gang zetten. Welke organisaties en welke termijnen dat zijn, hangt af van de implementatiewet per land: zoek het uit voordat u het nodig hebt, met onze landenpagina's over NIS2 in Nederland en NIS2 in België, of met de hulpmiddelen in ons cybersecurity-dossier.

Bij CyberNovaLabs.io

Wij maken deze inventarisatie voor onze klanten: elke site die aan het internet hangt, de PHP-versie die elke server werkelijk serveert, en de lijst van wat moet migreren omdat er geen fix meer komt. Vaak is het de eerste keer dat een bedrijf de echte leeftijd van zijn webfundament op een enkele pagina ziet. Wilt u die inventarisatie voor uw eigen omgeving, of een site die geen verstekeling meer is op PHP 7.4? Laten we twintig minuten nemen — en begin bij ons cybersecurity-dossier en onze websites voor het mkb.

Bronnen

1. PHP — Upcoming Critical PHP Security Release (20/10/2026)
2. CERT-FR — CERTFR-2026-ALE-014, Multiples vulnérabilités dans PHP (21/10/2026)
3. CERT-EU — Security Advisory 2026-018, Critical Vulnerabilities in PHP (21/10/2026)
4. NCSC-NL — NCSC-2026-0443, Kwetsbaarheden verholpen in PHP (21/10/2026)
5. CVE-2026-109618 — RCE via OOM corruption (CVSS v4.0 9.2, 21/10/2026)
6. CVE-2026-109619 — RCE via stale global state (CVSS v4.0 9.2, 21/10/2026)

Lees ook