CVSS

Te technisch? In onze terugblik lees je het verhaal zonder commando's. Alleen weten of je iets moet doen? Zie de status van het PHP-lek.

De twee bugs in de engine

Het PHP-team kondigde op 20 oktober een beveiligingsrelease aan voor twee lekken met een CVSS v4.0-score van 9,2^[1]. De beste openbare technische analyse is die van Daniele Berardinelli^[2]. In het kort:

• CVE-2026-109618, een half afgemaakte HashTable-entry. Bij het toevoegen van een element verhoogt PHP nNumUsed en nNumOfElements voordat de nieuwe key er echt staat. Faalt precies daar een geheugenallocatie, dan springt de memory-limit-afhandeling via longjmp() uit de engine en blijft een bucket achter die nooit is geïnitialiseerd. De opruimcode behandelt die bucket daarna als geldig. Een aanvaller stuurt de geheugenfout bewust naar die plek door de multipart-parser op te blazen met headers, lege file-velden en diep geneste veldnamen, en door de Content-Length-check op post_max_size te omzeilen met chunked HTTP/1.1 of HTTP/2 zonder lengte.

Alleen weten of je iets moet doen? Lees de status van het PHP-lek en ons advies. Meer techniek? Configuraties, versies en hoe je een PHP-build zelf controleert, staan in de technische deep dive over CVE-2026-109618.

Een kritiek lek in PHP raakt bijna elke website. WordPress, WooCommerce, Joomla en de meeste webwinkels draaien erop. Toen het PHP-team op dinsdag 20 oktober een beveiligingsupdate aankondigde voor twee lekken met een CVSS-score van 9,2, wisten we dat de dagen daarna spannend zouden worden.

In dit artikel blikken we terug. Wat hebben we gedaan, welke keuzes hebben we gemaakt, en waarom hebben we onze servers niet offline gehaald, terwijl andere hosters dat wel deden? Alle updates zoals we ze die dagen publiceerden, staan in ons eerdere artikel over het lek. Wil je de techniek tot op de configuratieregel, met versies, commando's en hoe je een PHP-build zelf controleert? Lees dan onze technische deepdive.

Let op: een onderhoudsmodus in WordPress of een andere plugin beschermt hier niet, want die draait zelf ook op PHP. Scherm je site daarom af voordat PHP aan de beurt is, bijvoorbeeld door in je .htaccess alleen je eigen IP-adres toe te laten. Wil je hulp daarbij? Neem contact met ons op.

Hoe het begon

Op 20 oktober kondigde het PHP-securityteam een beveiligingsrelease aan voor twee kritieke kwetsbaarheden, allebei met een CVSS v4.0-score van 9,2. Online staan ze inmiddels bekend als PHP2Shell. De release verscheen op 21 oktober om 14:00 UTC, 16:00 uur Nederlandse tijd. Welke versies geraakt waren en welke de fix bevatten, publiceerde php.net pas bij de release zelf^[1].

Normaal blijven de details tot de release geheim. Dit keer niet: kort na de aankondiging verschenen op internet onbevestigde technische details, en een tool die het lek zou misbruiken. Of die tool echt werkt, is onder beveiligingsonderzoekers omstreden. Bevestigd misbruik is er op dit moment niet^[2].