PHP 8.3
Is PHP 8.3 getroffen door PHP2Shell?
Het PHP-securityteam noemt PHP 8.3 vóór 8.3.36 in de lijst van getroffen versies voor beide CVE’s. PHP 8.3.36 is de eerste upstream-release van deze tak die ze dicht. Een versie-aanduiding vanaf 8.3.36 is de door het project gepubliceerde vergelijking; ze bewijst niet dat de webserver met dat binaire bestand is herstart.
Laatst bijgewerkt
| Feit | Wat de bron zegt | Bron |
|---|---|---|
| Getroffen bereik | PHP 8.3 vóór 8.3.36 | oss-security |
| Upstream-fix | 8.3.36 op 21 oktober 2026 of een latere 8.3-release | php.net |
| Beide CVE’s | Eén release dicht CVE-2026-109618 en CVE-2026-109619. Er is geen tweede patchnummer. | php.net |
| Ernst | CVSS v4.0 9.2 voor elke CVE, volgens het PHP-securityteam | oss-security |
| Waar het geldt | Installaties die webverzoeken afhandelen. Apache mod_php is volgens PHP het hoogste risico. PHP-FPM is ook getroffen. | php.net |
| Wat te doen | Bijwerken naar 8.3.36 of nieuwer en de workers herstarten. De CISA adviseert direct te patchen. Een firewall is geen volledige oplossing. | CISA; php.net |
Zo leest u een versie-aanduiding
Vergelijk het triplet major.minor.patch met 8.3.36. Alles daaronder in de tak 8.3 valt in het door het securityteam genoemde bereik. De versiecontrole voert deze vergelijking in de browser uit en herkent niet of een distributie een ouder nummer heeft behouden en een backport met pakketsuffix heeft geleverd. Op deze ondersteunde tak is de upstream-fix zelf een versiesprong, dus een triplet onder 8.3.36 is niet de php.net-fix.
Controleer na de installatie de SAPI die HTTP beantwoordt, niet alleen php -v in een beheershell. Herstart php-fpm of Apache, zodat het nieuwe binaire bestand het verkeer afhandelt. Stappen voor apt, dnf, Docker, cPanel en Plesk staan op de herstelpagina, het klikpad voor 宝塔面板 op de BT-Panel-pagina.
Andere takken
- PHP 8.5Kwetsbaar vóór 8.5.12. Deze release is de upstream-fix voor beide CVE’s.
- PHP 8.4Kwetsbaar vóór 8.4.27. Deze release is de upstream-fix voor beide CVE’s.
- PHP 8.2Kwetsbaar vóór 8.2.35. Deze release is de upstream-fix voor beide CVE’s.
- PHP 5 tot en met 8.1Geen officiële fix-release. Broncode-backports alleen voor 7.4, 8.0 en 8.1.
- 宝塔面板 (BT Panel)Het advies van het paneel van 22 oktober legt uit waar de pakketnummers van php.net afwijken.
Is PHP 8.3 kwetsbaar?
Ja, vóór 8.3.36. Het oss-security-bericht van Jakub Zelenka vermeldt PHP 8.3 onder 8.3.36 bij de getroffen versies voor CVE-2026-109618, in hetzelfde releasevenster als CVE-2026-109619. Het php.net-advies behandelt beide samen.
Welke PHP-8.3-versie lost het lek op?
PHP 8.3.36, uitgebracht op 21 oktober 2026, of een latere release in de tak 8.3. Dat is de upstream-fix voor CVE-2026-109618 en CVE-2026-109619. Installeer hem en herstart daarna Apache, PHP-FPM of de SAPI die de website levert.
Lost 8.3.36 beide CVE’s op?
Het PHP-project heeft één gezamenlijke set releases voor beide fouten gepubliceerd. Er is geen aparte 8.3-patch voor CVE-2026-109618 en nog een voor CVE-2026-109619.
Is een firewall of een php.ini-wijziging genoeg?
Nee. Volgens het PHP-project is alleen een update een volledige oplossing. Tijdelijke instellingen verkleinen bepaalde paden en staan op de herstelpagina. Ze vervangen PHP 8.3.36 niet.
Bronnen
Externe links verlaten deze site. Wij hosten geen exploitcode.
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- GHSA-w8hw-w9fx-j79w — CVE-2026-109618 — PHP (GitHub Security Advisory)
- GHSA-6wmf-4rv5-p3rp — CVE-2026-109619 — PHP (GitHub Security Advisory)