PHP-project kent kritiek lek PHP2Shell hoogste risicoscore 9,2 toe

Het PHP-project kent de twee kwetsbaarheden die het zelf op 21 oktober openbaar maakte een CVSS v4.0-score van 9,2 op 10 toe. Dat wijst op een zeer hoog risiconiveau. Die schaal drukt uit hoe ernstig een digitale kwetsbaarheid is. Beveiligingsteams gebruiken de score om te bepalen hoe snel een update nodig is. Getroffen installaties moeten worden bijgewerkt naar minimaal versie 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Voor PHP 8.1 en ouder verschijnen geen officiële updates meer. Zo’n oudere, niet langer ondersteunde versie krijgt doorgaans geen beveiligingsupdate meer. Een beheerder moet dan overstappen naar een nieuwere versie om beschermd te zijn. PHP is een programmeertaal waarmee een groot deel van alle websites wereldwijd draait, van kleine bedrijfssites tot grote platforms. De taal bestaat al sinds de jaren negentig en is een van de meest gebruikte talen voor webservers. Onderzoekers noemen de fouten samen PHP2Shell, volgens het PHP-project. Die naam verwijst naar het risico dat een aanvaller via het lek een eigen commandoregel op de server krijgt. Zonder in te loggen kan een aanvaller op afstand code uitvoeren op webservers die de taal gebruiken. Dat raakt vrijwel elke PHP-installatie die webverzoeken afhandelt. Het gaat onder meer om sites die draaien op WordPress, Drupal en Joomla, drie veelgebruikte systemen om websites te bouwen en beheren.

Het PHP-project registreert de twee fouten als CVE-2026-109618 en CVE-2026-109619. De eerste is een geheugencorruptie door een onvolledige initialisatie bij een out-of-memory-fout. De tweede is misbruik van verouderde interne status die na een eerdere aanvraag in het geheugen blijft staan. Een CVE-nummer is de internationale registratie waaronder een kwetsbaarheid bekend wordt. Zo spreken beveiligingsteams wereldwijd over dezelfde fout zonder verwarring. Beide fouten zijn zonder inloggegevens te misbruiken. Ze treffen onder meer PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed: de verschillende manieren waarop een webserver PHP-code verwerkt. Elk van die onderdelen moet apart worden bijgewerkt.

Het Nationellt Cybersäkerhetscenter, de Zweedse cyberbeveiligingsautoriteit, meldt zelf dat organisaties snel moeten inventariseren welke applicaties PHP gebruiken. Die applicaties moeten worden bijgewerkt met de nu beschikbare updates. De autoriteit valt in Zweden onder de nationale defensie- en veiligheidsstructuur en behandelt digitale dreigingen voor overheid en bedrijfsleven. Is direct patchen niet mogelijk, dan moeten internet-gekoppelde PHP-systemen worden geïsoleerd van het internet, meldt de autoriteit. Dat betekent in de praktijk dat een server tijdelijk geen verbinding meer maakt met het publieke internet. Zo kan een aanvaller er niet bij terwijl een organisatie de update voorbereidt. Voor Nederlanders en Belgen met een bedrijf, webshop of leveranciersportaal dat op PHP draait, betekent het advies van de Zweedse autoriteit iets concreets. Zij moeten controleren welke PHP-versie de eigen site gebruikt en die zo nodig meteen bijwerken naar een van de vier gepatchte versies.