Niet php.net · Niet NVD · Niet CISA

PHP-kwetsbaarhedentracker

Onofficiële briefing over beveiligingslekken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Beveiligingswaarschuwing

PHP2Shell: werk PHP bij. Dat is de enige volledige oplossing.

CVE-2026-109618 en CVE-2026-109619 zijn kritieke kwetsbaarheden in PHP zelf die uitvoering van code op afstand zonder authenticatie mogelijk maken. Het PHP-project bracht op 21 oktober 2026 fixes uit voor de ondersteunde takken 8.2 tot en met 8.5. Herstart PHP na de update. Een firewall is geen vervanging.

Stappen om te patchen

Status leveranciers

PHP2Shell-status van leveranciers: wie heeft gepatcht en wie onderzoekt nog

Dit zijn uitspraken van leveranciers over hun eigen producten, gelezen op 22 oktober 2026. Een gepatcht pakket van een distributie betekent niet dat elk PHP-binair bestand op een server uit die distributie komt. Een leverancier die „geen producten bekend als getroffen” meldt, beschrijft de stand van een onderzoek, geen eindresultaat.

Laatst bijgewerkt

Status in de woorden van de leverancier. Data zijn documentdata.
LeverancierUitspraak van de leverancierDatum van de bron
CiscoOnderzoekt welke producten en clouddiensten getroffen kunnen zijn. Bij publicatie waren geen producten als getroffen bekend, de sectie „bevestigd niet kwetsbaar” was nog leeg. PSIRT is geen kwaadwillig gebruik tegen Cisco bekend. Geen workaround die de fouten verhelpt.Eerste publicatie 21 oktober 2026, 19:12 GMT
Red HatGedeeltelijk opgelost. RHSB-2026-013: fixes worden versneld, sommige updates zijn beschikbaar, andere in voorbereiding. RHEL 10, 9, 8 en OpenShift Dev Spaces 3 zijn direct getroffen. Standaard-PHP-FPM onder RHEL zou moeilijker te misbruiken zijn dan mod_php. Errata zoals RHSA-2026:87151 (RHEL 9 php), RHSA-2026:87080 (RHEL 8 php) en RHSA-2026:87079 (RHEL 9 php:8.3) noemen beide CVE’s. Het onderzoek loopt.Openbaar 21 oktober 2026
UbuntuOpgelost voor ondersteunde releases, inclusief Ubuntu Pro en Legacy-ESM-builds tot de php5 van 14.04. Voorbeelden: 24.04 php8.3 in 8.3.6-0ubuntu0.24.04.13, 22.04 php8.1 in 8.1.2-1ubuntu2.28, 26.04 php8.5 in 8.5.4-0ubuntu1.5. Het upstream-versienummer verandert vaak niet. Diensten met PHP na de upgrade herstarten.Blogbericht 21 oktober 2026
DebianOpgelost voor stabiele releases. DLA-4848-1: Debian 12 bookworm php8.2 8.2.35-1~deb12u1 (Debian LTS). DSA-6574-1: Debian 13 trixie php8.4 8.4.27-1~deb13u1. De security-tracker vermeldde testing (forky) php8.4 8.4.26-1 op 22 oktober nog steeds als kwetsbaar.Adviezen 21 oktober 2026
cPanelOpgelost voor de vermelde builds: ea-php82 8.2.35, ea-php83 8.3.36, ea-php84 8.4.27 en ea-php85 8.5.12 en backports ea-php74 7.4.33-19, ea-php80 8.0.30-12 en ea-php81 8.1.34-5. Gepatchte cPanel-&-WHM-versies zijn onder meer 11.110.0.153, 11.134.0.66, 11.136.0.50 en 11.138.0.18. PHP ouder dan 7.4 wordt doorverwezen naar TuxCare ELS; een CloudLinux-tabel verwijst naar de statuspagina van CloudLinux.Bijgewerkt 22 oktober 2026
PleskOpgelost, met voorbehoud voor de builddatum bij oude takken. Fixes voor Linux en Windows voor PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. EOL-versies 7.4.33, 8.0.30 en 8.1.34 behouden hun nummer; builds van 21 oktober 2026 bevatten de fix. De eigen sw-engine van het paneel is opgelost in Plesk Obsidian 18.0.81 Update 4 en 18.0.80 Update 11.Leveranciersartikel met verwijzing naar de PHP-release van 21 oktober
SophosSophos-producten: niet getroffen. Advies sophos-sa-20261021-php2shell: geen product getroffen, geen actie nodig. Daarnaast draaide het oude MyUTM-licentieportaal met een getroffen PHP-versie; Sophos haalde het op 21 oktober offline, een logcontrole heeft tot nu toe geen aanwijzingen voor misbruik opgeleverd, de controle loopt nog.Bijgewerkt 21 oktober 2026
Palo Alto NetworksGetroffen, nog geen fix voor PAN-OS. Het advies noemt PAN-OS 12.2, 12.1, 11.2, 11.1 en 10.2 (alle versies) en Panorama getroffen, met gerepareerde versies „ETA: TBD”. Prisma Access, Cloud NGFW, GlobalProtect App, Cortex-producten en Prisma Cloud zijn niet getroffen. Tot dan moeten Threat Prevention-klanten Threat ID’s 543004 en 97622–97625 (content 9162 of later) inschakelen; die beschermen de beheerinterface alleen als het inkomende verkeer via een data-plane-poort loopt en voor inspectie wordt ontsleuteld. Palo Alto zegt geen kwaadwillig misbruik tegen zijn producten te kennen. De Unit 42-briefing zegt proofs of concept te hebben gezien en dat ten minste één Europese overheid haar website uit voorzorg offline heeft gehaald.Gepubliceerd 21 oktober 2026, bijgewerkt 21 oktober 23:33 UTC
AWSVolgens bulletin 2026-143-AWS zijn AWS-diensten zelf niet getroffen; klanten die getroffen PHP in de genoemde diensten draaien, kunnen dat wel zijn. Amazon WorkMail: maatregelen op configuratieniveau toegepast, upgrade naar PHP 8.3.36 gepland voor 22 oktober, geen actie van klanten nodig. Elastic Beanstalk: de PHP-platformversies v4.13.12, uitgebracht op 21 oktober, pakken beide CVE’s aan; een vervolgrelease van het platform met de upstream-fix van PHP staat gepland voor 22 oktober. Met Managed Platform Updates komt die in het volgende onderhoudsvenster; anders moet u de platformversie van de omgeving zelf bijwerken. Amazon Linux: bijgewerkte PHP-pakketten zijn beschikbaar in commerciële regio’s, niet-commerciële regio’s staan gepland voor 22 oktober; details in het Amazon Linux Security Center. Lightsail: bijgewerkte blueprints verwacht op 21 oktober; AWS kan draaiende instances niet ter plekke bijwerken, dus maak nieuwe instances van de bijgewerkte blueprints en migreer. PHP 5.4 tot en met 8.1 krijgt geen upstream-fix; AWS vraagt om migratie naar een ondersteunde branch.Gepubliceerd 21 oktober 2026, 14:30 PDT; laatst bijgewerkt 20:30 PDT (22 oktober, 03:30 UTC)

Hoe u „opgelost” leest

Het gepatchte 24.04-pakket van Ubuntu is nog steeds PHP 8.3.6 met een nieuwe pakketrevisie. De gepatchte builds van Plesk voor 7.4, 8.0 en 8.1 behouden hun versienummer en wijzigen de builddatum. Een vergelijking van php -v met 8.3.36 deelt deze hosts verkeerd in. Gebruik de door de leverancier gepubliceerde pakketaanduiding of de builddatum en herstart de SAPI die HTTP beantwoordt. De versiecontrole vergelijkt alleen upstream-versienummers en herkent geen backport.

Geen openbaar bericht over een gecompromitteerde bekende website

Per 22 oktober 2026 bevatten de voor deze pagina bekeken bronnen geen openbaar bericht dat een bekende website via PHP2Shell is gecompromitteerd. Reuters berichtte op basis van Cloudflare over miljoenen misbruikpogingen en beschreef dat overheidswebsites in Europa en elders offline gingen en dat er als noodmaatregel tijdelijke beperkingen waren bij Mitsubishi UFJ Financial Group en het Japanse ministerie van Financiën. Sophos zegt dat zijn uitgeschakelde MyUTM-portaal tot nu toe geen aanwijzingen voor misbruik toont. AWS zegt dat onduidelijk is of de waargenomen pogingen op echte systemen zouden zijn geslaagd, en de CISA had tot haar waarschuwing van 21 oktober geen misbruik waargenomen. Het ontbreken van een slachtoffermelding bewijst niet dat er geen compromittering heeft plaatsgevonden; het beschrijft wat deze bronnen hebben gepubliceerd.

Microsoft Azure App Service

Gefixt voor ondersteunde PHP in de ingebouwde Linux-images. Volgens het App Service-team bereikten images met PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12 op 21 oktober 2026 de kanalen Latest en Standard; Extended komt als laatste. Eigen containers, eigen PHP, end-of-life PHP en op Alpine gebaseerde WordPress-images worden niet gepatcht. Stappen: pagina over Azure App Service.

Over de scores: Azure citeert de CVSS v4.0-score 9.2 van het PHP-securityteam voor beide CVE’s en het releasemoment 21 oktober, 14:00 UTC. De primaire NVD-score voor CVE-2026-109618 is CVSS v3.1 9.8 (NVD). Het gaat om hetzelfde lek, gemeten met verschillende CVSS-versies.

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

  1. Vulnerabilities in PHP affecting Cisco products: October 2026 — Cisco
  2. 2026-143-AWS — PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) — AWS Security Bulletins
  3. RHSB-2026-013 php2shell request-handling memory corruption — Red Hat
  4. php2shell — PHP critical vulnerability fixes available — Ubuntu
  5. DLA-4848-1: php8.2 security update (Debian 12 bookworm) — Debian LTS
  6. DSA-6574-1: php8.4 security update (Debian 13 trixie) — Debian
  7. Critical PHP security release — CVE-2026-109618 and CVE-2026-109619 — cPanel
  8. Remote code execution in PHP shipped with Plesk — Plesk
  9. Advisory: PHP2Shell vulnerabilities (sophos-sa-20261021-php2shell) — Sophos
  10. Impact of critical vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks products — Palo Alto Networks
  11. Threat brief: critical vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 — Palo Alto Networks Unit 42
  12. Cloudflare sees millions of exploit attempts after PHP disclosure, 22 October 2026 — Reuters (syndicated text)
  13. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  14. Critical PHP security release: what it means for Azure App Service on Linux — Microsoft Azure App Service team
  15. CVE-2026-109618 — NVD
  16. CVE-2026-109618 — NVD
  17. CVE-2026-109618 — NVD
  18. CVE-2026-109618 — NVD
  19. CVE-2026-109618 — NVD
  20. CVE-2026-109618 — NVD
  21. CVE-2026-109618 — NVD