De PHP Foundation heeft met spoed updates uitgebracht voor twee kritieke kwetsbaarheden in programmeertaal PHP, nadat informatie over de lekken voortijdig uitlekte. De beveiligingsproblemen, geregistreerd als CVE-2026-109618 en CVE-2026-109619, hebben een ernstscore van 9,2 op de tienpuntsschaal en kunnen aanvallers mogelijk op afstand volledige controle over servers geven.
Het lek, inmiddels aangeduid als ‘PHP2Shell’, kwam naar buiten voordat de geplande openbaarmaking en patches beschikbaar waren. Onderzoekers van beveiligingsbedrijf watchTowr bevestigden dat de kwetsbaarheden reëel zijn en dat ten minste één van de twee fouten reproduceerbaar is. Volgens diverse beveiligingspartijen gaat het om zogenoemde remote code execution (RCE)-lekken, waarmee kwaadwillenden zonder geldige inloggegevens code kunnen uitvoeren op kwetsbare systemen.
De impact kan aanzienlijk zijn. PHP vormt de basis van veel websites en webapplicaties, waaronder installaties van WordPress, Drupal, Magento en Laravel. CERT-EU waarschuwt dat mogelijk alle PHP-versies vanaf PHP 5 geraakt worden, al heeft de PHP Foundation dit nog niet officieel bevestigd.
Beveiligingsorganisaties roepen beheerders op direct te patchen en internetgerichte systemen extra te monitoren. Britse en Europese cyberautoriteiten adviseren organisaties om kwetsbare systemen desnoods tijdelijk te isoleren totdat beveiligingsupdates zijn geïnstalleerd. Volgens meerdere onderzoekers bestaat het risico dat aanvallers snel misbruik gaan maken van de openbaar geworden informatie.
Pinewood
‘Een kwetsbaarheid betekent niet automatisch dat al die websites gehackt kunnen worden. Dat hangt af van de gebruikte softwareversie, de configuratie en de beveiligingsmaatregelen’, stelt Sebastiaan Kors, ceo cybersecuritybedrijf Pinewood. ‘Organisaties moeten nu vooral snel vaststellen of ze kwetsbaar zijn en waar nodig direct ingrijpen. Je kunt niet voorkomen dat er nieuwe kwetsbaarheden worden ontdekt, maar je kunt wel zorgen dat je ze snel signaleert, verhelpt en eventuele aanvallen tijdig stopt. Het verschil tussen een klein incident en een grote crisis zit vaak in vroegtijdig detecteren en in de snelheid van handelen.’ Over wat er in het ergste geval op het spel staat, zegt hij:
‘Cybercriminelen kunnen systemen overnemen en toegang krijgen tot gevoelige informatie, zoals klantgegevens, databases of bedrijfsinformatie. Ook kunnen ze systemen misbruiken om verdere aanvallen uit te voeren. Een kwetsbaarheid is echter nog geen succesvolle hack.’
