Belangrijke beveiligingswaarschuwing voor iedereen die PHP gebruikt

Er zijn twee kritieke beveiligingslekken ontdekt in PHP (CVSS-score 9,2/10), die mogelijk toelaten dat aanvallers op afstand code uitvoeren op een server.

⚠️ Dit is geen specifiek WordPress- of Symfony-probleem. Ook Laravel, Drupal, Joomla, Magento en eigen PHP-applicaties kunnen getroffen zijn.

Belangrijk om te weten:

• Publiek toegankelijke PHP-applicaties lopen mogelijk een verhoogd risico.
• Een login met 2FA (ook via e-mail) beschermt niet tegen een kwetsbaarheid waarmee de login volledig omzeild kan worden.
• Alle PHP-versies vanaf PHP 5 zijn mogelijk getroffen. De exacte impact moet nog officieel bevestigd worden.
• Beveiligingsupdates worden verwacht op 21 oktober 2026 om 16.00 uur (Belgische tijd).

Advies: Controleer welke PHP-versies jullie gebruiken, bereid updates voor en installeer de patches zo snel mogelijk. Overweeg tijdelijk internettoegang te beperken als patchen niet onmiddellijk mogelijk is.

Bronnen:

• PHP – Officiële aankondiging
• CERT-EU – Security Advisory
• Tweakers – Twee ernstige PHP-bugs
• BleepingComputer – Critical PHP vulnerabilities

Citaat van Jeroen.G

Dat houdt dus in alle php websites die modern zijn
Hoe gaan jullie hier mee om? even dingen offline halen via shared webhost is een gedoe.

Wij hebben alvast een inventaris gemaakt van al onze servers en de bijbehorende PHP-versies, zodat we snel kunnen schakelen zodra de beveiligingspatches beschikbaar zijn.

Daarnaast hebben we ervoor gekozen om applicaties die gevoelige klantgegevens bevatten tijdelijk offline te halen of de toegang ertoe te beperken.

Als een WordPress-blog even offline is, vind ik dat persoonlijk niet zo erg. Maar bij applicaties die gevoelige klantgegevens verwerken, nemen we liever geen onnodige risico's. 🙂

Bij shared webhosting is het uiteraard niet altijd eenvoudig om zomaar een website tijdelijk offline te halen.

Voor zover momenteel bekend, zijn er nog geen bevestigde meldingen dat er publiek beschikbare exploits zijn of dat de kwetsbaarheden actief worden misbruikt. Dat biedt echter geen garantie dat er geen misbruik plaatsvindt.

Uiteindelijk moet iedereen zelf een risicoafweging maken: neem je preventief maatregelen of wacht je op de officiële patches?

Wij kiezen er alvast voor om bij applicaties met gevoelige gegevens het zekere voor het onzekere te nemen.

Belangrijk is in elk geval dat je tijdig contact opneemt met je hostingprovider en bevestiging krijgt dat de beveiligingsupdates zo snel mogelijk na de release worden geïnstalleerd.

Zodra de patches beschikbaar zijn, kunnen ook de technische details van de kwetsbaarheden worden geanalyseerd. Hierdoor wordt het voor kwaadwillenden mogelijk eenvoudiger om exploits te ontwikkelen en kwetsbare systemen aan te vallen.

Het klopt inderdaad dat de eerste patches beschikbaar zijn.

Tijd om de PHP versies te upgraden dus, hoeveel applicaties hebben jullie nog draaien op oude php versies?