Er zijn twee kritieke kwetsbaarheden in PHP gemeld: CVE-2026-109618 en CVE-2026-109619. Ze maken het voor aanvallers mogelijk om via een simpele POST-request op afstand Remote Code Execution (RCE) te realiseren. Met andere woorden: een webserver kan worden overgenomen en sites of inlogfunctionaliteit kunnen uitvallen of gegevens kunnen uitlekken.
Het NCSC meldt dat er (voor zover bekend) nog geen actief misbruik is waargenomen, maar adviseert wél om nu al voorbereidingen te treffen voor het patchen. De patchmomenten en details worden later bekendgemaakt, maar je hoeft niet te wachten om je aanpak klaar te zetten.
Wat betekent dit voor organisaties die PHP gebruiken?
PHP is een server-side programmeertaal die centraal staat in veel webapplicaties. Het draait op de server en verwerkt gegevens en acties zoals inloggen, betalingen en communicatie met databases. Daardoor raakt een kwetsbaarheid niet alleen “PHP zelf”, maar ook vrijwel alles wat PHP gebruikt.
Het NCSC geeft aan dat de kwetsbaarheden in ieder geval aanwezig zijn vanaf PHP versie 5 en vermoedelijk in alle huidige versies. Dat betekent dat een grote set omgevingen potentieel kwetsbaar is: van websites en CMS’en (zoals WordPress, Joomla en Drupal) tot systemen en webinterfaces in hardware, netwerkapparatuur, IoT-dashboarding en enterprise omgevingen.
Waarom zijn deze PHP-kwetsbaarheden zo gevaarlijk?
De kern van het probleem is dat de kwetsbaarheden kunnen leiden tot Remote Code Execution (RCE). Dat komt doordat kwaadwillenden de kwetsbaarheid kunnen triggeren met een eenvoudige POST-request, waarna code op afstand kan worden uitgevoerd.
De gevolgen kunnen groot zijn. Het NCSC noemt onder meer volledige overname van (web)servers, een verstoring van de bereikbaarheid van websites, het uitlekken van gegevens en het niet meer werken van specifieke functies zoals inloggen.
Er is bovendien publieke Proof of Concept (PoC)-code beschikbaar. Zelfs als misbruik nog niet is gezien, verlaagt dat de drempel voor aanvallers om snel aan de slag te gaan.
Welke PHP-versies lopen risico?
Volgens het NCSC zijn alle versies vanaf PHP 5 in ieder geval kwetsbaar. In de praktijk betekent dit dat je vooral moet kijken naar: welke PHP-versie draait er in jouw omgeving, en welke systemen of componenten gebruiken PHP (direct of indirect)?
Veel organisaties zijn afhankelijk van de vendor van hun software of platform om tijdig naar een gepatchte PHP-versie te updaten. Dat maakt voorbereiden extra belangrijk: je hebt een proces nodig om snel te kunnen schakelen zodra updates beschikbaar zijn.
Wat kun je nu doen: maak je patch klaar
Het belangrijkste advies van het NCSC is om voorbereidingen te treffen zodat je patchen direct kunt uitvoeren zodra de fix beschikbaar is. Volgens de melding volgt er een patchpublicatie rond 21 oktober 16:00 (Nederlandse tijd), met de nadrukkelijke kanttekening dat dit mogelijk vervroegd kan worden.
Concreet kun je nu al dit soort stappen zetten:
- Inventariseer alle plekken waar PHP draait: webservers, webapplicaties, managed platforms en embedded webinterfaces.
- Check de internetblootstelling: welke systemen met PHP zijn bereikbaar vanaf het publieke internet?
- Leg een patch-runbook vast: wie voert updates uit, hoe test je snel, en wat is het terugvalscenario?
- Werk aan prioriteiten: behandel systemen die internet-facing zijn als eerste, omdat het risico daar het hoogst is.
Updates installeren: waar je op moet letten
Het NCSC geeft aan dat de gepubliceerde updates voor zover bekend alleen voor PHP 8 beschikbaar zijn. Voor organisaties die oudere versies draaien is de boodschap dus: overweeg End-Of-Life versies te upgraden naar een variant waarvoor patches beschikbaar zijn.
Zodra de update beschikbaar is, adviseert het NCSC om deze direct door te voeren. Tot die tijd moet je ervan uitgaan dat elk systeem met PHP dat vanaf het internet bereikbaar is vermoedelijk kwetsbaar is.
Let ook op: mitigerende maatregelen die later beschikbaar komen zijn niet genoeg om de kwetsbaarheden weg te nemen. Ze kunnen bovendien leiden tot Denial of Service (DoS), waardoor je systeem onbedoeld verstoord kan raken bij pogingen tot misbruik.
Risicobeoordeling en aanvullende maatregelen als je nog niet kunt patchen
Kun je niet meteen patchen? Dan vraagt het NCSC om een risicocafweging per systeem dat PHP gebruikt en aan het internet hangt. Op basis daarvan kun je extra maatregelen nodig hebben, bijvoorbeeld het uitschakelen van het systeem totdat je de update hebt afgerond.
Deze aanpak is pragmatisch: niet elke omgeving heeft dezelfde waarde, complexiteit of blootstelling. Maar omdat RCE mogelijk is, moet je de urgentie hoog houden.
Voorbereidende check: hoe herken je afhankelijkheden
In veel organisaties draait PHP niet alleen “in eigen code”, maar ook in producten waar je van afhankelijk bent. Denk aan webplatformen, CMS-plugins, tooling of beheersystemen. Het NCSC benadrukt dat updates bij veel van deze producten afhankelijk zijn van de vendor.
Daarom is het slim om vooraf te weten:
- Welke webapplicaties gebruiken PHP en welke versies draaien in productie?
- Welke systemen zijn managed door een derde partij, en wanneer verwacht je hun patch?
- Welke release-cyclus en change-window heb je nodig om snel te kunnen handelen?
Heb je te maken met een bredere context van webkwetsbaarheden en RCE-incidenten, dan kan het helpen om je patchproces breder te bekijken. Op onze site bespreken we bijvoorbeeld ook hoe recente exploitketens zich snel kunnen ontwikkelen, zoals bij PHP2Shell en misbruikkansen bij gelekte PHP-lekken.
Snelle acties voor nu (samenvatting)
Als je vandaag één richting wilt kiezen, volg dan deze rode draad voor PHP-kwetsbaarheden patchen:
- Stel vast welke PHP-versies je gebruikt (minimaal vanaf PHP 5 is het risico aanwezig).
- Prioriteer systemen die vanaf het publieke internet bereikbaar zijn.
- Plan patching op het aangekondigde moment en houd rekening met vervroeging.
- Upgradelijn doorzetten richting PHP 8, omdat patches volgens de melding vooral daarvoor beschikbaar zijn.
- Mitigatie niet als eindpunt zien: mitigerende maatregelen lossen de kwetsbaarheid niet volledig op en kunnen DoS veroorzaken.
Conclusie
De melding over CVE-2026-109618 en CVE-2026-109619 maakt duidelijk dat dit geen “afwachten”-kwetsbaarheid is. Omdat PHP in enorm veel systemen en webinterfaces terugkomt, kan de impact breed zijn. Het NCSC adviseert daarom om nu al klaar te staan voor de patch en updates direct door te voeren zodra die beschikbaar zijn.
Door je inventaris, prioriteiten en patch-runbook vooraf rond te krijgen, verklein je de kans dat je in de piek van het patchmoment achterloopt—en dat is precies wat je wilt voorkomen bij kwetsbaarheden die RCE op afstand mogelijk maken.
Bron: https://www.ncsc.nl/alerts/ernstige-kwetsbaarheden-in-php-bereid-je-voor-op-patchen
