Aanverwant incident · OpenSSL-adviezen · januari–september 2026
OpenSSL-lekken met hoge ernst in 2026 en wat ze betekenen voor PHP
De openssl- en curl-extensies van PHP roepen de OpenSSL-bibliotheek van het systeem aan. PHP bijwerken werkt OpenSSL niet bij.
Laatst bijgewerkt
OpenSSL-adviezen met hoge ernst in 2026
| CVE | Gepubliceerd | Probleem | Opgelost in |
|---|---|---|---|
| CVE-2025-15467 | 27-01-2026 | Stackbufferoverloop bij parsen van CMS (Auth)EnvelopedData; vóór authenticatie; DoS of mogelijk RCE | 3.6.1, 3.5.5, 3.4.4, 3.3.6, 3.0.19 |
| CVE-2026-45447 | 09-06-2026 | Heap use-after-free in PKCS7_verify() bij gemanipuleerde PKCS#7 / S/MIME | 4.0.1, 3.6.3, 3.5.7, 3.4.6, 3.0.21 |
| CVE-2026-84782 | 29-09-2026 | Out-of-bounds-lezen bij DTLS-hertransmissie; heaplek of crash | 4.0.3, 3.6.5, 3.5.9, 3.4.8 |
Welke OpenSSL gebruikt mijn PHP?
# Which OpenSSL is PHP linked against?
php -i | grep -i -E '^openssl|OpenSSL Library|OpenSSL Header'
openssl version
# Distribution packages often backport fixes without changing the upstream number:
apt-cache policy openssl libssl3 # Debian / Ubuntu
rpm -q openssl openssl-libs # RHEL familyZo lost u het op
- Werk de OpenSSL-pakketten van de distributie bij (libssl3 / openssl-libs) en herstart PHP-FPM, Apache en langlopende workers.
- Bouw Docker-images opnieuw op een actuele basisimage.
- Installeer bij stacks met een eigen OpenSSL de bijgewerkte build van de leverancier.
FAQ
Lost een PHP-upgrade OpenSSL-bugs op?
Meestal niet. PHP-pakketten van distributies linken tegen de systeem-libssl, dus werk het OpenSSL-pakket bij. Builds met een eigen OpenSSL hebben een nieuwe build van de leverancier nodig.
Is een gewone PHP-site blootgesteld?
Dat hangt van de code af. CVE-2025-15467 en CVE-2026-45447 gaan over het parsen van CMS- of PKCS#7-berichten zoals S/MIME, die PHP aanbiedt via functies als openssl_cms_decrypt() en openssl_pkcs7_verify(). Een openbaar PHP-specifiek aanvalspad hebben wij niet gezien; patch de bibliotheek toch.
Mijn distributie toont een oud versienummer. Ben ik kwetsbaar?
Niet per se. Debian, Ubuntu en RHEL backporten fixes zonder het upstreamnummer te wijzigen; controleer de beveiligingstracker van uw distributie.
Bronnen
Externe links verlaten deze site. Wij hosten geen exploitcode.
- OpenSSL Security Advisory, 27 January 2026 (CVE-2025-15467) — OpenSSL
- OpenSSL Security Advisory, 9 June 2026 (CVE-2026-45447) — OpenSSL
- OpenSSL Security Advisory, 29 September 2026 (CVE-2026-84782) — OpenSSL
- Vulnerabilities list — OpenSSL
- OpenSSL runtime configuration (openssl.cafile, openssl.capath) — PHP manual