PHP heeft op 21 oktober de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uitgebracht om CVE-2026-109618 en CVE-2026-109619 te verhelpen, twee kwetsbaarheden met een score van 9,2 uit 10 die ongeautoriseerde remote code execution mogelijk maken.

De kwetsbaarheden leidden ertoe dat Finland, Nederland en Frankrijk voorzorgshalve overheidssites offline haalden nadat details voortijdig naar buiten waren gekomen. Cloudflare meldde bovendien enkele uren vóór het uitbrengen van de patch al aanvallen. De Amerikaanse National Security Agency adviseerde organisaties die PHP gebruiken hun sites stil te leggen, terwijl instanties in Australië, Japan en het Verenigd Koninkrijk vergelijkbare richtlijnen uitgaven.

De meeste internetgebruikers hoeven niets te installeren. De verantwoordelijkheid voor het toepassen van de fix ligt bij websitebeheerders, hostingbedrijven en organisaties die PHP-servers onderhouden. Voor PHP 8.1 en ouder verschijnen geen reguliere officiële releases meer, al heeft het PHP-securityteam vanwege de ernst beperkte broncodepatches voor enkele oudere versies gepubliceerd.

PHP drijft ongeveer 70% van de websites waarvan de servertalen bekend zijn, volgens W3Techs. De programmeertaal draait op servers, waar ze helpt websites op te slaan en de door bezoekers opgevraagde pagina's te genereren. WordPress-sites zijn bijvoorbeeld doorgaans afhankelijk van PHP-servers, volgens WordPress-beveiligingsbedrijf Wordfence.

De twee bugs kunnen een aanv in staat stellen opdrachten uit te voeren op een PHP-server zonder in te loggen. Dit type kwetsbaarheid staat bekend als unauthenticated remote code execution. Afhankelijk van de server en de data die erop staat, kan een geslaagde aanval accountgegevens, adressen, bestelgeschiedenissen of andere gevoelige informatie blootstellen.

Webhost GoDaddy waarschuwde dat de kwetsbaarheden aanvallers data kunnen laten stelen, websites kunnen laten vandaliseren of volledige controle over getroffen servers kunnen geven.

"Een kwetsbaarheid als deze kan een aanvaller in staat stellen eigen code uit te voeren op een getroffen server via internet, wat kan leiden tot gestolen data, een gesaboteerde site of een volledige overname", aldus GoDaddy in zijn securityupdate.

De securityaankondiging van PHP

De PHP Foundation, de nonprofit die de ontwikkeling van de taal financiert, gaf op 20 oktober een waarschuwing vooraf uit. In een op X gedeelde verklaring stelde de organisatie:

"The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence."

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence. — The PHP Foundation (@ThePHPF) October 20, 2026

Het Common Vulnerability Scoring System, of CVSS, beoordeelt kwetsbaarheden op een schaal van 0 tot 10 op basis van factoren zoals hoe eenvoudig ze via internet zijn te misbruiken en de mogelijke impact. Scores vanaf 9,0 worden geclassificeerd als kritiek.

PHP bracht de fix rond 13:35 UTC op 21 oktober uit, ongeveer 25 minuten vóór het aangekondigde tijdstip. In het securityadvies stond: "All PHP users are strongly encouraged to update immediately." De uitgave werd één dag vervroegd nadat informatie over de kwetsbaarheden publiek was gaan circuleren en er aanwijzingen voor aanvallen waren opgedoken.

Hoe de kwetsbaarheden werken

CVE-2026-109618 doet zich voor wanneer PHP tijdens het verwerken van een verzoek zonder geheugen komt te zitten en later half opgebouwde data als volledig behandelt. CVE-2026-109619 zorgt ervoor dat restanten van het verzoek van een bezoeker in het geheugen achterblijven nadat ze verwijderd hadden moeten zijn, waardoor een volgend verzoek ermee in aanraking kan komen.

Het risico is het grootst op servers die mod_php gebruiken, een veelgebruikte Apache-configuratie. PHP zei dat een gedemonstreerde exploit werkt "vóórdat er applicatiecode draait", wat betekent dat verdediging door de website zelf—zoals inlogschermen en WordPress-beveiligingsplugins—mogelijk niet de kans krijgt om in te grijpen.

Onderzoekers van de PHP Foundation wezen de upload-progress-functie van PHP aan als een van de bevestigde toegangswegen. Deze functie volgt de voortgang van een bestandsupload, staat al meer dan tien jaar standaard aan en wordt door weinig websites daadwerkelijk gebruikt.

er technische informatie is te vinden in het PHP securityarchief, de analyse van watchTowr en het NVD-item voor CVE-2026-109619. De documentatie van PHP beschrijft ook de relevante sessionconfiguratie.

Details lekten vóór de patch

De openbaarmaking werd aanvankelijk niet vóór de geplande release verwacht. Op dinsdag plaatste een gebruiker op het Hacker News-forum dat twee PHP-kwetsbaarheden op donderdag bekend zouden worden, terwijl werd toegegeven dat de claim "geen bewijs had beyond 'source: trust me, bro'." De post is hier te vinden.

Beveiligingsbedrijf watchTowr bevestigde later dat de kwetsbaarheden echt waren en onder embargo vielen, een afspraak om technische details geheim te houden tot een fix gereed was. PHP versnelde vervolgens de uitgave.

Cloudflare-CTO Dane Knecht zei woensdagochtend vroeg op X dat aanvallen al waren begonnen, bijna zes uur vóór het uitbrengen van de patch. Cloudflare zette noodregels voor de web application firewall uit aan klanten, ook aan klanten op gratis abonnementen, maar Knecht noemde de regels slechts een tijdelijke maatregel.

"PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free. We are seeing early attacks emerging and are updating mitigations as new vectors show… — Dane Knecht 🦭 (@dok2001) October 21, 2026"

De originele post is ook te vinden op het X-account van Dane Knecht.

Overheden halen websites offline

Finse staats-IT-centrum Valtori begon voorzorgshalve publieke webdiensten offline te halen, aldus publieke omroep Yle. De Nederlandse nationale cybersecurity-instantie nam ook de eigen website offline.

Het Franse ministerie van Binnenlandse Zaken zei dat prefectuurwebsites "tijdelijk offline waren gehaald in afwachting van de uitgave van een beveiligingspatch door de uitgever van het framework."

Het EU-cybernoodteam, CERT-EU, vertelde organisaties die de patch niet konden installeren dat ze moesten "overwegen internetgerichte applicaties te isoleren van openbare netwerken tot een fix beschikbaar is."

Reuters meldde dat instanties in Australië, Japan en het Verenigd Koninkrijk vergelijkbare richtlijnen uitgaven. In het Reuters-verslag stond ook dat websites mogelijk offline moesten terwijl operators de fixes gereedmaakten.

Claims over getroffen PHP-versies

Berichten op X beweerden dat PHP-versies "teruggaand tot 2004" kwetsbaar waren. Die claim kwam uit vroege schattingen dat elke versie sinds 5 was getroffen, een beoordeling die CERT-EU volgens eigen zeggen baseerde op socialmedia-berichten.

E-commercebeveiligingsbedrijf Sansec schatte dat PHP 5.4 en later waren getroffen, wat het bereik terugbrengt tot 2012 in plaats van 2004. PHP levert officieel alleen actuele releases voor versies 8.2 en nieuwer. Vanwege de ernst van deze kwetsbaarheden publiceerde het securityteam echter ook basisbroncodepatches voor PHP 7.4, 8.0 en 8.1, terwijl Linux-distributies zelfstandig fixes gingen backporten.

Beveiligingsbedrijf Mallory telde op 20 oktober ongeveer 884.000 internetgerichte hosts die PHP 8.1 of ouder adverteerden. Dat was 59% van de circa 1,5 miljoen publiek zichtbare hosts die hun PHP-versie vermelden. Het aantal getroffen websites is hoger, omdat één gedeelde hostingserver vele sites kan ondersteunen. Het onderzoek van Mallory is hier te vinden, de analyse van Sansec hier.

Sommige online berichten haalden ook Node.js aan. Node.js is een aparte webtechnologie die toevallig op dezelfde dag een eigen, losstaande securityupdate gepland had.

De PHP Foundation waarschuwde dat gepatchte versies niet overal tegelijk beschikbaar zouden komen. De organisatie stelde: "If you rely on the volunteer maintained we urge you to move to distro packages or building from source now, so you can immediately apply updates. The repo will not have updates today", verwijzend naar een door vrijwilligers beheerde bron van PHP-pakketten voor Linux-servers in Red Hat-stijl. De pakketrepository is beschikbaar op

Mogelijke impact op websites en digitale activa

Een gehackte website hoeft niet direct met een blockchain te communiceren om de digitale activa van gebruikers in gevaar te brengen. In 2024 leidden aanvallers de frontends van DeFi-protocollen Compound en Celer om naar pagina's die waren ontworpen om gekoppelde wallets te legen. Curve Finance werd in 2025 getroffen door een vergelijkbare aanval. Die incidenten betroffen DNS-kaping en geen PHP-kwetsbaarheden, maar het resultaat kan voor een bezoeker hetzelfde lijken: de website en de URL lijken legitiem terwijl een goedkeuringsactie tokens naar elders stuurt.

Een gecompromitteerde PHP-server zou gebruikt kunnen worden om een frauduleuze pagina van dat soort te tonen. De relatie tussen kwetsbare webinfrastructuur en cryptodiefstal werd ook besproken door ondernemer @levelsio, die op X zei dat hij zijn sites en virtuele privéservers had losgekoppeld terwijl hij op de patch wachtte.

"I pre-emptively disconnected ALL my sites / VPS servers from the web I'll wait for the patch to hit at 2 PM UTC If you have a PHP website, probably good to take them down until you patch PHP 69.3% of the web runs on PHP so this is going to be intense! Good time maybe to buy… — @levelsio (@levelsio) October 21, 2026"

De post is ook te vinden op X. De eerdere Decrypt-verslagen over het Compound- en Celer-incident en de Curve-aanval zijn hier en hier te vinden.

De kwetsbaarheden komen bovendien in een tijd waarin frontier-AI-modellen steeds vaker worden ingezet om softwarefouten op te sporen. Experts vertelden Decrypt in juni dat de verspreiding van dergelijke tools tot de ontdekking van nog veel meer kwetsbaarheden kan leiden. Het Decrypt-verslag is hier te vinden.

Wat websitebeheerders moeten doen

Zodra een patch publiek is, kunnen aanvallers de kwetsbare en gepatchte code vergelijken om precies te zien wat er is veranderd. Het forensisch team van Sansec zei "massale aanvallen te verwachten binnen 15 minuten na de release." Toen in juni 2024 een andere PHP-kwetsbaarheid publiek werd, registreerde Akamai binnen 24 uur exploitpogingen op zijn valservers. De analyse van Akamai is hier te vinden.

Telefoons, browsers en persoonlijke laptops hebben geen PHP-update nodig. Het werk ligt bij de organisaties die websites en servers beheren. Website-eigenaren moeten aan hun hostingprovider vragen of PHP is bijgewerkt en achterhalen wie verantwoordelijk is voor het onderhoud van de server.

Wordfence waarschuwde dat automatische WordPress-updates deze fix niet toepassen. Site-eigenaren moeten dus bevestigen dat PHP zelf is gepatcht, in plaats van ervan uit te gaan dat een WordPress-update het probleem oplost.

PHP-kernontwikkelaar Gina Peter Banyard zei op Mastodon: "The only thing I can say is that the only mitigation is patching / upgrading PHP", en voegde eraan toe: "I sadly know too much." De post is hier te vinden.

Organisaties die PHP 8.1 of ouder draaien moeten een upgrade plannen, omdat die versies geen reguliere officiële releases meer ontvangen. Gebruikers van PHP 8.2 staan ook voor een naderende deadline: PHP 8.2 bereikt op 31 december 2026 het einde van de levensduur en ontvangt daarna geen beveiligingspatches meer.