Update: PHP-kwetsbaarheden nog steeds reden om direct te patchen
- Alert
- 21 oktober 2026
- Bijgewerkt: 22 okt 2026 om 13:01
Er zijn twee kritieke kwetsbaarheden ontdekt in PHP, een veelgebruikte programmeertaal voor websites en webapplicaties. Misbruik van deze kwetsbaarheden kan ertoe leiden dat aanvallers op afstand systemen overnemen. Uit voorzorg had het NCSC zijn website tijdelijk offline gehaald. Ook meerdere andere organisaties, waaronder overheidsinstanties, hadden hun websites preventief uitgeschakeld. Inmiddels zijn beveiligingsupdates (patches) beschikbaar om de kwetsbaarheden te verhelpen.
Update 22 oktober 13:00 uur
Naar aanleiding van ons eerdere bericht over de twee kritieke kwetsbaarheden in PHP geven we een update over de situatie. Sinds de publicatie van onze advisory en de beschikbaarheid van beveiligingsupdates zijn verschillende websites weer online. Heeft jouw organisatie de updates nog niet geïnstalleerd? Doe dit dan zo snel mogelijk. Houd systemen die nog kwetsbaar zijn uit voorzorg offline totdat je de updates hebt doorgevoerd.
Nog geen aanwijzingen voor succesvol misbruik
Het NCSC heeft op dit moment geen signalen dat de kwetsbaarheden succesvol zijn misbruikt. Ook zijn er momenteel geen aanwijzingen dat de beschikbare patches de kwetsbaarheden onvoldoende verhelpen.
Online verschijnen verschillende proof-of-concepts (PoC's): voorbeelden van code waarmee onderzoekers of aanvallers een kwetsbaarheid kunnen testen of misbruiken. Uit eigen onderzoek blijkt dat de PoC's die we hebben onderzocht, nog niet succesvol zijn. Dat sluit toekomstig misbruik niet uit. Eén werkende variant kan voldoende zijn om aanvallen op grotere schaal mogelijk te maken.
Installeer de beveiligingsupdates
Wacht daarom niet op signalen van misbruik, maar installeer de beschikbare beveiligingsupdates zo snel mogelijk. Controleer welke PHP-versie jouw organisatie gebruikt en volg de instructies van het NCSC en je softwareleverancier. Maak daarbij gebruik van onze beslisboom die je verderop in bericht vindt.
Het is van belang dat organisaties zo snel mogelijk nagaan of hun systemen kwetsbaar zijn en de beschikbare updates doorvoeren. Zolang systemen niet zijn bijgewerkt, is het nodig deze uit voorzorg offline te houden.
Patches beschikbaar
PHP heeft patches beschikbaar gesteld voor de PHP-kwetsbaarheden. Upgrade naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Gebruikers van Linux-distributies en LTS-versies worden geadviseerd de door hun leverancier beschikbaar gestelde beveiligingsupdates toe te passen.
PHP 8.1 en ouder worden niet meer regulier door het PHP-project ondersteund. Voor PHP 7.4, 8.0 en 8.1 heeft het PHP-team vanwege de ernst van de kwetsbaarheden wel minimale broncodepatches beschikbaar gesteld.
Tijdelijke mitigerende maatregelen
Wanneer direct updaten niet mogelijk is, zijn tijdelijke mitigerende maatregelen beschikbaar voor beide kwetsbaarheden. Het PHP-team benadrukt dat deze maatregelen slechts specifieke aanvalspaden beperken en geen volledige oplossing vormen. Alleen het installeren van een beveiligingsupdate verhelpt de kwetsbaarheden volledig.
Beslisboom met toelichting
Het NCSC heeft een beslisboom met toelichting opgesteld over hoe jij als organisatie kan controleren welke maatregelen je kan nemen indien je gebruik maakt van PHP.
Meer technische informatie op Github
Ook heeft het NCSC een pagina ingericht op Github. Hier vind je technische informatie over de kwetsbaarheden. Deze pagina wordt doorlopend geüpdatet door het NCSC. Hier vind je ook een inventarisatie van alle PHP-gerelateerde softwareproducten om inzichtelijk te maken welke producten kwetsbaar zijn.
Resultaten laden...