De ontwikkelaars van PHP waarschuwen voor twee ernstige beveiligingslekken in de populaire programmeertaal. De kwetsbaarheden krijgen allebei een risicoscore van 9,2 op een schaal van 10. Mogelijk kunnen aanvallers hierdoor op afstand kwaadaardige code uitvoeren op kwetsbare webservers. Een beveiligingsupdate wordt vandaag, 21 oktober, verwacht.
PHP wordt wereldwijd gebruikt voor het ontwikkelen en beheren van websites. Ook bekende contentmanagementsystemen zoals WordPress, Joomla en Drupal maken gebruik van de programmeertaal. De twee ontdekte beveiligingslekken, geregistreerd als CVE-2026-109618 en CVE-2026-109619, kunnen daardoor grote gevolgen hebben voor websitebeheerders. Volgens een waarschuwing van het Europese cybersecurityteam CERT-EU kunnen de kwetsbaarheden mogelijk worden misbruikt om zonder geldige inloggegevens op afstand code uit te voeren. Dat betekent dat aanvallers in bepaalde omstandigheden toegang kunnen krijgen tot kwetsbare servers. Er circuleren inmiddels berichten over demonstraties van de aanvalsmethode, maar de exacte technische details zijn nog niet officieel bevestigd.
Beveiligingsupdate verschijnt om 16.00 uur
Het beveiligingsteam achter PHP heeft aangekondigd op woensdag 21 oktober om 16.00 uur Nederlandse tijd een beveiligingsupdate beschikbaar te stellen. Aanvankelijk zouden de ontwikkelaars pas later informatie over de kwetsbaarheden publiceren, maar vanwege de ernst van de situatie is besloten gebruikers vooraf te waarschuwen. Welke PHP-versies precies kwetsbaar zijn, is nog niet officieel bekendgemaakt. Volgens onbevestigde berichten zouden mogelijk ook oudere versies van PHP getroffen zijn. Websitebeheerders krijgen het advies alvast te controleren welke PHP-versies hun servers gebruiken en zich voor te bereiden op een snelle update. CERT-EU adviseert organisaties om kwetsbare systemen zo snel mogelijk te voorzien van de beveiligingspatches. Wanneer dat niet direct mogelijk is, kan het tijdelijk afschermen van publiek toegankelijke applicaties noodzakelijk zijn.
Meer informatie over de beveiligingsproblemen en de beschikbare updates is te vinden op de officiële website van PHP.