Ongekende urgentie: twee kritieke PHP RCE kwetsbaarheden vereisen onmiddellijke actie

Op 20 oktober 2026 kwamen details over twee kritieke PHP remote code execution (RCE) kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, voortijdig naar buiten. Dit leidde tot een wereldwijde waarschuwing en noodpatches van PHP.

Twee kritieke PHP RCE kwetsbaarheden CVE-2026-109618 en CVE-2026-109619
Twee kritieke PHP RCE kwetsbaarheden CVE-2026-109618 en CVE-2026-109619

Op 20 oktober 2026 ontving de wereld van cybersecurity een schokkende waarschuwing: details van twee kritieke remote code execution (RCE) kwetsbaarheden in PHP, geïdentificeerd als CVE-2026-109618 en CVE-2026-109619, waren al gelekt voordat officiële patches beschikbaar waren. Deze voortijdige bekendmaking zorgde voor een ongekende urgentie bij securityprofessionals wereldwijd. De reactie was snel: op 21 oktober 2026 bracht het PHP-securityteam noodupdates uit (PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35).

Meerdere toonaangevende securityorganisaties, waaronder Huntress, het Nationaal Cyber Security Centrum (NCSC) in Nederland en CERT-EU, gaven onmiddellijk adviezen uit. De kwetsbaarheden hebben beide een kritieke CVSS v4.0-score van 9.2 en er circuleerden al snel proof-of-concept (PoC) exploits en meldingen van opkomende aanvallen. Dit alles benadrukt de enorme bedreiging die deze kwetsbaarheden vormen voor een breed scala aan webapplicaties en -diensten.

Inzicht in de bedreiging: twee kritieke PHP RCE kwetsbaarheden

De vroegtijdige lek van deze PHP-kwetsbaarheden en de bijbehorende PoC-code heeft de tijd om te reageren enorm verkort. Organisaties moesten en moeten nog steeds onmiddellijk actie ondernemen. De kritieke ernst (CVSS 9.2) van beide kwetsbaarheden betekent dat aanvallers zonder authenticatie code kunnen uitvoeren op kwetsbare systemen, wat kan leiden tot volledige controle over de server. Dit maakt ze extreem gevaarlijk.

De technische details: hoe de kwetsbaarheden werken

Het is belangrijk om te begrijpen hoe deze kwetsbaarheden precies werken om ze effectief te kunnen bestrijden. Het gaat om twee verschillende mechanismen die leiden tot RCE.

CVE-2026-109618: geheugenbeschadiging bij out-of-memory (OOM)

Deze RCE-fout zit in de manier waarop PHP omgaat met out-of-memory-fouten. Wanneer PHP een OOM-situatie tegenkomt, kan het longjmp() gebruiken om terug te springen naar een eerdere, veilige staat. Het probleem is dat wanneer dit gebeurt tijdens de initialisatie van requestdata, de deels geïnitialiseerde data tijdens het opschonen onterecht als geldig wordt beschouwd. Dit creëert een pad voor een aanvaller om via eerder toegewezen geheugen ongewenste code uit te voeren. Simpel gezegd, onvolledige data wordt als compleet behandeld, waardoor ruimte ontstaat voor misbruik.

CVE-2026-109619: kwetsbaarheid door verouderde globale status

Deze RCE-fout ontstaat doordat PHP request-specifieke statusinformatie behoudt nadat het geheugen is vrijgegeven. Stel je voor dat een PHP-worker een fatale fout tegenkomt en zijn geheugen vrijgeeft. Als dezelfde worker vervolgens een nieuw verzoek afhandelt, kan deze toegang krijgen tot de “verouderde” status van het vorige verzoek voordat het correct wordt geïnitialiseerd. Dit leidt tot een zogenaamde “heap use-after-free”-kwetsbaarheid, geheugenlekken en uiteindelijk RCE. Een soort ‘restje’ van een eerdere sessie dat door een nieuwe sessie kan worden misbruikt.

Wie is getroffen? De universele impact op het PHP-ecosysteem

De kwetsbaarheden hebben een universele impact op vrijwel alle PHP-installaties die webverzoeken afhandelen. Denk hierbij aan populaire configuraties zoals:

Dit betekent dat grote platforms die veel gebruikt worden, expliciet kwetsbaar zijn. Dit zijn onder andere:

Als je een van deze platforms of een andere PHP-applicatie gebruikt, moet je deze waarschuwing serieus nemen.

Directe actie vereist: patchen en verder

De gecoördineerde en urgente waarschuwingen van Huntress, NCSC-NL en CERT-EU onderstrepen het wijdverspreide en ernstige risico. Jouw organisatie moet onmiddellijk reageren.

De eerste en belangrijkste stap is patchen:

De PHP-beveiligingsteams hebben snel gehandeld en noodpatches uitgebracht:

Alle organisaties die PHP gebruiken, vooral op internetgerichte systemen, moeten onmiddellijk een inventarisatie maken van hun installaties en de officiële patches toepassen om ongeauthenticeerde RCE te voorkomen.

Voorbij patchen: gedragsdetectie en proactieve verdediging

Huntress benadrukt dat alleen patchen niet altijd voldoende is, of niet altijd direct mogelijk. Het monitoren van verdacht gedrag van PHP-workers is cruciaal.

Indicatoren van misbruik

Misbruik van deze kwetsbaarheden zal zich waarschijnlijk manifesteren als verdachte kinderprocessen die worden opgestart door PHP-workerprocessen (zoals php-fpm of apache2). Denk hierbij aan processen die proberen om:

Specifieke command-line patronen die sterke indicatoren zijn, omvatten:

Het implementeren van robuuste endpoint detection-mogelijkheden en actieve monitoring is essentieel. Tools zoals Florian Roth’s process-watcher voor Linux kunnen onmiddellijk inzicht geven in dergelijk afwijkend gedrag.

Specifieke mitigatie voor end-of-life (EOL) PHP-versies

Een grote uitdaging vormen de End-of-Life (EOL) PHP-versies (zoals PHP 7.4, 8.0 en 8.1) die geen officiële patches meer ontvangen. Hiervoor wordt specifiek, zij het gedeeltelijk, mitigatieadvies gegeven:

Het NCSC-NL waarschuwde dat hoewel deze mitigatiemaatregelen kunnen helpen, ze ook kunnen leiden tot Denial of Service (DoS) in sommige gevallen. Het beste advies blijft om te upgraden naar een ondersteunde PHP-versie. De noodzaak van tijdelijke oplossingen voor niet-ondersteunde software benadrukt de aanhoudende uitdaging van het beveiligen van verouderde systemen en het belang van een gedegen upgrade-planning.

Bredere implicaties en jouw strategie

De impact van deze kwetsbaarheden reikt verder dan alleen directe patches. Het vereist een bredere blik op jouw securitystrategie.

Toeleveringsketenrisico

De wijdverspreide integratie van PHP in commerciële en open-source producten betekent dat organisaties ook afhankelijk zijn van hun leveranciers voor updates. Dit benadrukt het kritieke belang van bewustzijn en communicatie over de beveiliging van de toeleveringsketen.

Gelaagde verdedigingsstrategie

Naast patchen is een gelaagde verdediging cruciaal. Dit omvat robuuste endpoint detection-mogelijkheden en actieve monitoring op afwijkende procesuitvoering en command-line-activiteit afkomstig van PHP-workers.

Voorbereiding op incidentrespons

Gezien de hoge waarschijnlijkheid van actieve exploitatie, moet jouw organisatie een incidentresponsplan klaar hebben. Dit omvat het isoleren van getroffen servers en het veiligstellen van logbestanden voor forensisch onderzoek.

De rol van AI in cybersecurity

Huntress’s melding van “agentic AI” in hun Security Operations Center (SOC) en verbeteringen in AI-model recall, suggereert dat AI een integraal onderdeel wordt van real-time dreigingsdetectie en -respons. Dit is cruciaal om het tempo van machine-speed misleiding bij te kunnen houden.

Conclusie

De recent ontdekte PHP RCE-kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) vormen een acute en ernstige bedreiging voor het internet. De vroegtijdige lek van informatie heeft de reactietijd drastisch verkort, waardoor onmiddellijke actie essentieel is. Patchen naar de nieuwste, veilige PHP-versies (8.5.12, 8.4.27, 8.3.36 en 8.2.35) is je hoogste prioriteit.

Maar je werk stopt hier niet. Een robuuste verdediging vereist meer: implementeer gedragsdetectie, monitor afwijkend PHP-procesgedrag, en bereid je voor op incidenten. Voor EOL-versies zijn er tijdelijke mitigaties, maar een upgrade blijft de meest duurzame oplossing. Door een gelaagde securitystrategie te omarmen en waakzaam te blijven, bescherm je jouw systemen effectief tegen deze en toekomstige cyberdreigingen.