Niet php.net · Niet NVD · Niet CISA

PHP-kwetsbaarhedentracker

Onofficiële briefing over beveiligingslekken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Beveiligingswaarschuwing

PHP2Shell: werk PHP bij. Dat is de enige volledige oplossing.

CVE-2026-109618 en CVE-2026-109619 zijn kritieke kwetsbaarheden in PHP zelf die uitvoering van code op afstand zonder authenticatie mogelijk maken. Het PHP-project bracht op 21 oktober 2026 fixes uit voor de ondersteunde takken 8.2 tot en met 8.5. Herstart PHP na de update. Een firewall is geen vervanging.

Stappen om te patchen

Getroffen versies

Welke PHP-versies zijn getroffen door PHP2Shell?

De enige upstream-versienummers die beide CVE’s dichten, zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 of latere versies van dezelfde tak. Voor oudere takken heeft elke uitspraak een voorbehoud nodig, omdat de openbare analyses geen eenduidig bereik hanteren.

Laatst bijgewerkt

Upstream-status na de releases van 21 oktober 2026. „Opgelost” betekent dat er een officiële PHP-release is, niet dat uw pakketten die al bevatten.
TakStatus in de geciteerde bronnenUpstream-fix
8.5 vóór 8.5.12Door het PHP-securityteam als getroffen vermeld8.5.12
8.4 vóór 8.4.27Door het PHP-securityteam als getroffen vermeld8.4.27
8.3 vóór 8.3.36Door het PHP-securityteam als getroffen vermeld8.3.36
8.2 vóór 8.2.35Door het PHP-securityteam als getroffen vermeld8.2.35
8.1Geen officiële release. PHP heeft naar eigen zeggen een minimale broncode-backport gepubliceerd.Upgrade of een geverifieerde backport van leverancier / broncode
8.0 en 7.4Als 8.1: broncode-backports, geen nieuwe upstream-release.Upgrade of een geverifieerde backport van leverancier / broncode
7.3 en ouder, tot 5.4Wiz, Google Cloud en Cloudflare beschrijven impact vanaf 5.4. Volgens Expel heeft PHP niets gezegd over 7.3 en ouder.Geen upstream-fix in deze lijnen. Plan vervanging.
PHP 5 vóór 5.4Niet de ondergrens bij Wiz, Google Cloud of Cloudflare. De FAQ van watchTowr van vóór het advies noemde PHP 5 in het algemeen.Niet op internet draaien. Deze rij is onzeker, geen veiligheidsverklaring.

Tak voor tak

Oudere PHP-versies hebben ook andere kritieke lekken

PHP2Shell patchen maakt een oude tak niet veilig. Het onafhankelijke project Vulnerability Charts houdt per PHP-release de hoogste bekende score bij. Het laat bijvoorbeeld zien dat releases van vóór medio 2026 in elke tak al kwetsbaar waren voor eerdere kritieke lekken. Gebruik het als overzicht; de PHP-changelog is leidend.

Voorbeeld: 8.3.35 of PHP/8.2.34. Het patchnummer is verplicht.

Nog niets gecontroleerd. Het resultaat blijft in uw browser.

Waarom de tabel onder 8.2 een gat heeft

Het oss-security-bericht van Jakub Zelenka noemt als getroffen de vier ondersteunde takken vóór hun respectieve patchniveaus. Die zin betreft de versies die het securityteam met releases heeft gepatcht. Op zichzelf is het geen uitspraak dat 8.1 niet getroffen is. Het php.net-advies zegt dat 8.1 en ouder geen updates meer krijgen van het PHP-project, verwijst naar backports van distributies en LTS-leveranciers en noemt minimale broncode-backports voor 7.4, 8.0 en 8.1 voor wie zelf bouwt. Een backport bewijst dat deze drie takken getroffen waren – maar is geen ondersteunde release die je van php.net kunt installeren.

Wiz zegt dat de fouten teruggaan tot PHP 5.4. Google Cloud schrijft „alle PHP-versies van 5.4 tot en met 8.5.11”, Cloudflare „PHP 5.4 of nieuwer”. ThreatCluster merkt op dat session.upload_progress sinds PHP 5.4.0 bestaat en standaard aan staat; dat is een pad voor CVE-2026-109619, geen bewijs dat elk pad bij 5.4 eindigt. watchTowr schreef op 20 oktober dat PHP 5, 7 en 8 in het algemeen getroffen zijn. Het latere bericht van Expel is de voorzichtige correctie: 7.3 en ouder zijn niet uitdrukkelijk door PHP bevestigd, maar niet-ondersteunde PHP op het web moet hoe dan ook als risicovol gelden.

De controle vergelijkt alleen versienummers

Ze draait volledig in uw browser en stuurt de versie nergens heen. Ze kan zeggen of een triplet minstens 8.2.35, 8.3.36, 8.4.27 of 8.5.12 is. Ze kan niet zien of Ubuntu, RHEL, cPanel of een containerleverancier de fix naar een ouder nummer heeft teruggezet, en niet welk binair bestand uw webserver werkelijk heeft geladen. Vergelijk na de upgrade php-fpm -v of de build van de Apache-module, herstart de dienst en controleer opnieuw.

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
  3. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  4. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
  5. Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
  6. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  7. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  8. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  9. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  10. AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
  11. Security advisory: critical unauthenticated RCE in PHP (“php2shell”) — University of Toronto Information Security
  12. PHP: per-version vulnerability chart — Vulnerability Charts (independent project)