Niet php.net · Niet NVD · Niet CISA

PHP-kwetsbaarhedentracker

Onofficiële briefing over beveiligingslekken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Beveiligingswaarschuwing

PHP2Shell: werk PHP bij. Dat is de enige volledige oplossing.

CVE-2026-109618 en CVE-2026-109619 zijn kritieke kwetsbaarheden in PHP zelf die uitvoering van code op afstand zonder authenticatie mogelijk maken. Het PHP-project bracht op 21 oktober 2026 fixes uit voor de ondersteunde takken 8.2 tot en met 8.5. Herstart PHP na de update. Een firewall is geen vervanging.

Stappen om te patchen

Privacy

Privacyverklaring: wat deze briefingwebsite opslaat

De pagina’s zijn statische bestanden. Er is geen account, geen reactieveld en geen eigen analyseproduct. Het enige optionele script van derden is Google AdSense, en dat wordt alleen geladen als er een publisher-ID is geconfigureerd en u in de banner toestemming geeft.

Laatst bijgewerkt

Hosting

De website wordt geleverd via een Cloudflare Worker met statische assets onder phpvulnerabilities.app. Cloudflare verwerkt verbindingsgegevens zoals IP-adres en verzoekheaders volgens het privacybeleid van Cloudflare. Een apart verzoeklogboek voor redactionele doeleinden houden wij niet bij.

Versiecontrole

Het hulpmiddel op de pagina over getroffen versies vergelijkt het ingevoerde nummer met de gepubliceerde fix-versies. Het script verstuurt dat nummer niet. Het blijft in uw browser tot u de pagina verlaat.

Advertenties en cookies

Advertentieplekken blijven leeg zolang ADSENSE_CLIENT in de configuratie leeg is – dat is de standaardinstelling. Zijn een publisher-ID en minstens één slot-ID ingesteld, dan kan de website Google AdSense laden nadat u in de banner „Accepteren” hebt gekozen. AdSense kan cookies plaatsen en persoonsgegevens gebruiken voor het personaliseren en meten van advertenties. Google beschrijft deze verwerking in zijn beleid voor partnerwebsites.

Weigert of negeert u de banner, dan wordt het AdSense-script niet opgenomen. De keuze wordt in de localStorage van deze oorsprong opgeslagen onder de sleutel pva-consent. Deze sleutel is geen advertentiecookie. Het wissen van de sitegegevens voor phpvulnerabilities.app verwijdert hem.

Is ADSTERRA_ENABLED in de configuratie actief, dan laadt elke inhoudspagina daarnaast een native Adsterra-eenheid. Dat is een asynchroon script van bauval.org, gemarkeerd als advertentie, en niet de AdSense-eenheid. De AdSense-plekken blijven uit tot er een publisher-ID is ingesteld. Het Adsterra-script wordt niet door de AdSense-banner tegengehouden. Een door Google gecertificeerde CMP is nog steeds niet ingebouwd.

Contact per e-mail

Schrijft u naar contact@phpvulnerabilities.app, dan wordt het bericht als gewone correspondentie behandeld door de persoon die de mailbox beheert. Stuur geen wachtwoorden, geen exploitcode en geen gegevens over derden. Het e-mailveld op de overzichts- en contactpagina is een tijdelijke aanduiding: de browser verstuurt het niet, en deze statische website heeft geen plek om het adres op te slaan.

Kinderen

De website richt zich op systeembeheerders en ontwikkelaars. Ze richt zich niet op kinderen, en wij verzamelen niet bewust persoonsgegevens van kinderen.

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

  1. How Google uses information from sites or apps that use our services — Google
  2. Privacy policy — Cloudflare