← Alle artikelen

Symfony en Laravel samen gepatcht: 9 adviezen (04-11-2026)

Gepubliceerd op 5 november 2026 · 7 min lezen · CyberNovaLabs.io

Negen Symfony-adviezen en een Laravel-patch op dezelfde dag, beide overgenomen door CERT-FR. Vier van deze lekken repareren een eerdere, onvolledige patch: bijgewerkt in oktober is dus niet genoeg. De exacte versies en de vragen die u stelt.

Kort gezegd

Op 4 november 2026 publiceerde het Symfony-team negen beveiligingsadviezen op een dag, en dichtte Laravel een lek waarmee code op afstand uitgevoerd kan worden.^[2][4][7] Het Franse CERT-FR nam beide dezelfde dag over, samen met een derde reeks adviezen voor Ruby on Rails.^[1][2][3] Is uw website, klantportaal of intranet op maat gebouwd, dan draait het vrijwel zeker op een van deze fundamenten. De enige vraag die deze week telt: welke versie staat er?

Wat er gedicht is, en in welke versies

Symfony is een PHP-ontwikkelraamwerk; Laravel is er ook een, en gebruikt zelfs verschillende Symfony-onderdelen. Beide uitgevers brachten hun patches uit op 4 november 2026. Voor Symfony zijn dit de versies die de lekken dichten.^[5][6]

Bij Laravel is het lek gedicht in versie 13.40.0, en is de patch teruggezet naar de 12.x-tak.^[4] CERT-FR noemt alle versies onder 13.40.0 getroffen.^[1]

Die nummers zijn het enige wat u hoeft door te sturen naar uw leverancier. Een ontwikkelaar leest de installeerde versie in enkele seconden: het bestand composer.lock van het project bevat hem, en beide raamwerken laten hem zelf zien vanaf de opdrachtregel.

De valkuil: vier van deze patches repareren een eerdere patch

Dit is wat een nieuwsbericht niet vermeldt. Van de negen Symfony-adviezen van 4 november melden vier expliciet dat ze een onvolledige oplossing van een al gepubliceerd lek aanvullen: CVE-2026-118513 vult CVE-2026-45063 aan, CVE-2026-118514 vult CVE-2026-45075 aan, CVE-2026-118517 vult CVE-2026-45066 aan, en een advies over het onderdeel HtmlSanitizer vult CVE-2026-48761 aan.^[7]

Het gevolg in de praktijk: we hebben de vorige beveiligingsupdate uitgevoerd dekt u hier niet. CVE-2026-118514 maakt duidelijk waarom. De oplossing voor CVE-2026-45075 pakte hetzelfde gebrek alleen aan in drie code-attributen, en niet in de regels voor toegangscontrole of in de applicatiefirewalls.^[5] Het lek bleef dus open op de plek waar het het meest uitmaakt.

Het is binnen twee weken de tweede keer. Precies dit patroon beschreven we voor PHP in ons stuk over de NCSC-NL-inventaris van PHP-producten met een onvolledige patch. De les herhaalt zich: een uitgevoerde patch is geen vinkje dat u eenmalig zet, maar een versienummer dat u bij elk advies opnieuw vergelijkt.

De twee Symfony-lekken waar een mkb-bedrijf eerst naar kijkt

Het eerste gaat over formulieren die bestanden aannemen (CVE-2026-118515). Het onderdeel Serializer bouwde een object voor een geupload bestand op uit de gegevens van het verzoek. Een bezoeker kon dus een bestand aanwijzen dat al op de server stond, en dat laten behandelen alsof het net was verzonden.^[6] Afhankelijk van wat de applicatie daarna met dat bestand doet (opslaan, terugsturen, verplaatsen) legt dat bestanden bloot die PHP kan lezen. Hebt u een klantomgeving die bijlagen aanneemt, een sollicitatie-upload of een aanvraagformulier met tekening, dan pakt u deze als eerste aan.

Het tweede raakt de toegangscontrole (CVE-2026-118514). Een regel die beperkt was tot de GET-methode gold niet voor hetzelfde adres opgevraagd met de HEAD-methode, omdat de router HEAD-verzoeken met de GET-handler afhandelt.^[5] Het antwoord heeft geen inhoud, maar de headers gaan wel naar buiten en de code wordt uitgevoerd met alle neveneffecten. Een pagina waarvan u dacht dat die afgeschermd was, kon dus bereikt worden zonder langs de bedoelde applicatiefirewall te gaan.

Geen van beide lekken is van buitenaf te zien. U ontdekt ze niet door naar uw website te kijken: u leest ze af in het versienummer.

Laravel: code-uitvoering op afstand betekent niet dat iedereen geraakt wordt

Het Laravel-advies verdient het om helemaal gelezen te worden voordat iemand schrikt. Het lek vraagt twee voorwaarden in uw eigen applicatiecode: er moet een route zijn die de functie voor gelijktijdige taken bereikt, wat standaard niet zo is, en de gestarte taak moet gegevens van de gebruiker naar zijn standaarduitvoer schrijven.^[4] De uitgever noemt die voorwaarden zelf onveilige ontwikkelpraktijk.

Het risico is dus echt, maar voorwaardelijk. Aan de update verandert dat niets: die voert u gewoon uit. Het verandert wel de vraag aan uw leverancier, die daarmee concreet wordt in plaats van algemeen. In geen van de adviezen die wij gelezen hebben, staat dat misbruik is waargenomen. Dat is geen reden om te wachten: een openbare patch maakt het lek voor iedereen leesbaar, ook voor wie ernaar gaat zoeken.

Wie u waarschuwt, in elk van de vier landen

Het feit is Europees, maar het waarschuwingskanaal blijft nationaal, en dat is wat verschilt per land van vestiging. In Frankrijk staan de adviezen van CERT-FR (ANSSI) op cert.cyber.gouv.fr; zij namen Symfony en Laravel op 4 november over.^[1][2] In Belgie brengt het Centrum voor Cybersecurity Belgie zijn adviezen uit via CERT.be. In Nederland publiceert het NCSC-NL eigen adviezen en dit jaar ook inventarissen van getroffen producten. In Luxemburg leunen de private sector en de gemeenten op CIRCL, terwijl GOVCERT.LU de overheidsinstellingen dekt.

Valt uw organisatie onder NIS2, dan hangen de bevoegde autoriteit en de meldtermijnen af van het land van omzetting, niet van uw ontwikkelraamwerk. Wij zetten het toepassingsgebied per land uiteen, bijvoorbeeld voor softwarebedrijven en IT-dienstverleners in Nederland. Een update die op tijd is uitgevoerd, is geen meldplichtig incident, en dat is precies waarom u hem niet laat liggen.

Bij CyberNovaLabs.io

Wij bouwen bedrijfsapplicaties op maat en volgen de adviezen van de raamwerken waarop ze draaien: per klant is de installeerde versie bekend en vergeleken met de adviezen van CERT-FR en van de uitgevers. Dat is ook wat we nakijken bij een audit van een bestaande site, ook als die elders is gemaakt: zie onze pagina software op maat en ons aanbod cyberbeveiliging. In dezelfde lijn passen onze artikelen over de kritieke PHP-lekken van 21 oktober en over het misbruikte Drupal Commerce-lek dezelfde methode toe op andere bouwstenen. Weet u niet waarop uw website draait, dan is dit de week om dat uit te zoeken: vraag een technische check van 20 minuten aan.

Bronnen

1. CERT-FR, CERTFR-2026-AVI-1457 : Vulnerabilite dans Laravel (04/11/2026)
2. CERT-FR, CERTFR-2026-AVI-1460 : Multiples vulnerabilites dans les produits Symfony (04/11/2026)
3. CERT-FR, CERTFR-2026-AVI-1452 : Multiples vulnerabilites dans Ruby on Rails (04/11/2026)
4. Laravel, bulletin de securite GHSA-63hm-g96r-2m2q : Task Output Injection - Concurrency Process (04/11/2026)
5. Symfony, CVE-2026-118514 : HEAD Requests Bypass the methods Option of access_control and Firewalls (04/11/2026)
6. Symfony, CVE-2026-118515 : The Serializer Builds UploadedFile Objects From Request Data (04/11/2026)
7. Symfony, bulletins de securite publies le 04/11/2026 (liste)

Lees ook