← Alle artikelen

PHP: 218 producten nog kwetsbaar, lijst NCSC-NL (28-10-2026)

Gepubliceerd op 29 oktober 2026 · 7 min lezen · CyberNovaLabs.io

De PHP-patch van 21 oktober sluit het dossier niet. Op 28 oktober telt het NCSC 218 producten die nog kwetsbaar zijn, op 757 gevolgde, en een derde vector heeft nog geen patch.

In het kort

Op 28 oktober 2026 heeft het Nationaal Cyber Security Centrum (NCSC) zijn openbare inventaris bijgewerkt van producten die geraakt zijn door de twee kritieke PHP-lekken van 21 oktober (CVE-2026-109618 en CVE-2026-109619).^[1] Van 757 gevolgde producten staan er 218 nog als kwetsbaar en slechts 144 als hersteld; 354 zijn nog in onderzoek.^[1] In de versie van 27 oktober van zijn waarschuwing meldt het Franse CERT-FR pogingen tot misbruik op specifieke installaties, en herinnert het eraan dat een derde lek, CVE-2026-115560, pas in de volgende reguliere PHP-cyclus een patch krijgt.^[2]

Wat de patch van 21 oktober niet afsluit

Op 21 oktober publiceerde PHP de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 om twee lekken te dichten die ongeauthenticeerde uitvoering van code op afstand mogelijk maken, op elke PHP-installatie die webverzoeken afhandelt.^[3] Veel mkb-bedrijven vroegen hun hoster of het bij stond, en hielden het daarbij. De inventaris van 28 oktober laat zien dat de vraag verkeerd is: de brochurewebsite is vaak maar een product van meerdere. PHP zit ook ingebouwd in appliances, beheerinterfaces en branchesoftware die de beheerder niet zelf kan bijwerken.^[1]

Op 27 oktober voegt CERT-FR twee bruikbare feiten toe. Het ziet pogingen tot misbruik van de twee lekken van 21 oktober, beperkt tot specifieke installaties, en het kent sinds 22 oktober proof-of-conceptcode.^[2] Het derde lek, door PHP aangekondigd op 23 oktober, vereist een ongebruikelijke combinatie van configuratie en applicatiecode; PHP noemt het onwaarschijnlijk en schuift de patch door naar de volgende cyclus.^[2][3] Onwaarschijnlijk is niet nul: tot de patch er is, blijft de omzeiling die PHP publiceerde van kracht.

Wat dit voor een mkb-bedrijf verandert, per land

De motor is in de vier landen dezelfde. Wat verschilt, is bij wie u een incident meldt en hoe de plicht tot bijwerken gelezen wordt.

• Nederland. Het NCSC houdt de referentielijst bij, bijgewerkt op 28 oktober om 16.22 uur Parijse tijd.^[1] Een organisatie die onder de Cyberbeveiligingswet valt, meldt een incident bij het NCSC en bij haar sectorale toezichthouder, onder het regime dat al geldt. Een mkb-bedrijf buiten die reikwijdte heeft die wettelijke plicht niet, maar dezelfde lijst zegt wel welke software in het park nog openstaat.
• Frankrijk. De referentiewaarschuwing is CERTFR-2026-ALE-014, laatst bijgewerkt op 27 oktober.^[2] Een incident meldt u bij CERT-FR. Omdat de omzetting van NIS2 niet is afgerond, geldt de NIS2-meldplicht daar nog niet zoals in Nederland of Belgie: dat ontslaat niemand van het dichten van een blootstaande site.
• Belgie. Het Centrum voor Cybersecurity Belgie (CCB) is het meldpunt voor essentiele en belangrijke entiteiten die al onder de Belgische NIS2-wet vallen. Een mkb-bedrijf daarbuiten meldt een compromittering aan zijn leverancier en, bij een lek van persoonsgegevens, aan de Gegevensbeschermingsautoriteit.
• Luxemburg. Het Institut luxembourgeois de regulation (ILR) houdt toezicht op NIS2-entiteiten; andere organisaties melden een incident via het CIRCL. Een lek van persoonsgegevens blijft een zaak voor de CNPD, los van het technische lek.

De derde vector, die de patch niet dicht

Op 23 oktober publiceerde PHP een informatief advies, geen patch: tot de volgende versie raadt het aan de voortgang van sessie-uploads uit te zetten (session.upload_progress.enabled=0) om een vector te sluiten die het onwaarschijnlijk noemt, bijgehouden als CVE-2026-115560.^[3] PHP stelt dat het probleem alleen optreedt als de applicatie de serialisatiehandler van de sessie tijdens de uitvoering wijzigt, en alleen als die voortgang nog aanstaat. Een applicatie die de handler nooit wijzigt, kan de functie aan laten.^[3] CERT-EU neemt in versie 1.2 van zijn advies van 23 oktober dezelfde lijn: geen release buiten de cyclus, de omzeiling toepassen.^[4]

Een tweede detail, van 26 oktober, speelt vooral bij Windowsservers: PHP heeft zijn Windowspakketten opnieuw gebouwd (achtervoegsel -1) om Brotli 1.2.1 mee te nemen, dat een schrijfactie buiten de grenzen in de decompressie dicht, bereikbaar via de cURL-extensie wanneer automatische decompressie van HTTP-antwoorden aanstaat.^[3] Dit is niet hetzelfde lek als het paar van 21 oktober. Een mkb-bedrijf waarvan de site op Windows draait, moet om het opnieuw gebouwde pakket vragen, niet alleen om het PHP-versienummer.

Deze week doen

Bij CyberNovaLabs.io

Een site-update is van buitenaf niet te raden, en een inventaris van 757 producten leest u niet in tien minuten. CyberNovaLabs.io controleert de versie die echt wordt geserveerd, de ingebouwde software en de omzeiling die nog openstaat, en levert een korte lijst van wat resteert. Het aanbod voor cyberbeveiliging staat op de pagina cyberbeveiliging voor het mkb; voor een blik op uw site maakt u een afspraak. Twee verwante stukken: de kritieke PHP-lekken van 21 oktober en het Brotli-lek dat in de Windowspakketten is gedicht.

Bronnen

1. NCSC-NL, depot php2shell, point operationnel du 28 octobre 2026 (757 produits suivis, 218 vulnerables, 144 corriges)
2. CERT-FR, alerte CERTFR-2026-ALE-014, derniere version du 27 octobre 2026
3. PHP.net, avis informatif du 23 octobre 2026 (CVE-2026-115560) et paquets Windows du 26 octobre 2026
4. CERT-EU, avis 2026-018, version 1.2 du 23 octobre 2026

Lees ook