Update: PHP-kwetsbaarheden nog steeds reden om direct te patchen

Update 23 oktober 15:45 uur

Misbruik is ingewikkeld, updaten blijft het advies

De afgelopen dagen hebben we veel geschreven over twee ernstige kwetsbaarheden in PHP, een programmeertaal waar onder andere veel websites op draaien. Op dit moment is bij ons één melding bekend van mogelijk misbruik in het buitenland, maar is niet bevestigd dat de aanval ook daadwerkelijk succesvol is geweest. 

Verder onderzoek laat zien dat het misbruiken van deze kwetsbaarheden ingewikkeld is en de kans op grootschalig misbruik kleiner dan eerder werd ingeschat. Vooralsnog lijken de nieuwste PHP-updates goed te werken. De PHP Foundation heeft vandaag een nieuwe kwetsbaarheid met CVE-2026-115560 bekendgemaakt. Het is volgens PHP Foundation onwaarschijnlijk dat het via deze kwetsbaarheid mogelijk is om Remote Code Executie (RCE) te verkrijgen. Deze kwetsbaarheid wordt door de PHP Foundation in een volgende reguliere bugfix release verholpen. 

Ons advies blijft hetzelfde: zorg dat op jouw website(s), applicaties en (netwerk)apparatuur zo snel mogelijk de nieuwste beveiligingsupdates voor PHP worden geïnstalleerd. Als je niet zelf je IT-omgeving beheert, neem dan contact op met je hostingpartij of IT‑leverancier. We blijven de situatie nauwgezet volgen en zullen dit bericht updaten wanneer het beeld wezenlijk verandert. 

Update 22 oktober 16:00 uur

Naar aanleiding van ons eerdere bericht over de twee kritieke kwetsbaarheden in PHP geven we een update over de situatie. Sinds de publicatie van onze advisory en de beschikbaarheid van beveiligingsupdates zijn verschillende websites weer online. Heeft jouw organisatie de updates nog niet geïnstalleerd? Doe dit dan zo snel mogelijk. Houd systemen die nog kwetsbaar zijn uit voorzorg offline totdat je de updates hebt doorgevoerd.

Installeer de beveiligingsupdates

Wacht daarom niet op signalen van misbruik, maar installeer de beschikbare beveiligingsupdates zo snel mogelijk. Controleer welke PHP-versie jouw organisatie gebruikt en volg de instructies van het NCSC en je softwareleverancier. Maak daarbij gebruik van onze beslisboom die je verderop in bericht vindt.

Het is van belang dat organisaties zo snel mogelijk nagaan of hun systemen kwetsbaar zijn en de beschikbare updates doorvoeren. Zolang systemen niet zijn bijgewerkt, is het nodig deze uit voorzorg offline te houden.

Patches beschikbaar

PHP heeft patches beschikbaar gesteld voor de PHP-kwetsbaarheden. Upgrade naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Gebruikers van Linux-distributies en LTS-versies worden geadviseerd de door hun leverancier beschikbaar gestelde beveiligingsupdates toe te passen.

PHP 8.1 en ouder worden niet meer regulier door het PHP-project ondersteund. Voor PHP 7.4, 8.0 en 8.1 heeft het PHP-team vanwege de ernst van de kwetsbaarheden wel minimale broncodepatches beschikbaar gesteld.

Tijdelijke mitigerende maatregelen

Wanneer direct updaten niet mogelijk is, zijn tijdelijke mitigerende maatregelen beschikbaar voor beide kwetsbaarheden. Het PHP-team benadrukt dat deze maatregelen slechts specifieke aanvalspaden beperken en geen volledige oplossing vormen. Alleen het installeren van een beveiligingsupdate verhelpt de kwetsbaarheden volledig.

Beslisboom met toelichting

Het NCSC heeft een beslisboom met toelichting opgesteld over hoe jij als organisatie kan controleren welke maatregelen je kan nemen indien je gebruik maakt van PHP.

Meer technische informatie op Github

Ook heeft het NCSC een pagina ingericht op Github. Hier vind je technische informatie over de kwetsbaarheden. Deze pagina wordt doorlopend geüpdatet door het NCSC. Hier vind je ook een inventarisatie van alle PHP-gerelateerde softwareproducten om inzichtelijk te maken welke producten kwetsbaar zijn.