--- title: "CVSS-score: wat de cijfers van 0 tot 10 betekenen" description: "CVSS (Common Vulnerability Scoring System) geeft de ernst van een beveiligingslek een score van 0,0 tot 10,0." canonical: https://www.keurigonline.nl/begrippenlijst/cvss last_modified: 2025-12-18 --- [Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst) # CVSS CVSS (Common Vulnerability Scoring System) geeft de ernst van een beveiligingslek een score van 0,0 tot 10,0. Actueel: [PHP-lek PHP2Shell (session.upload\_progress): status en wat je moet doen](https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress) CVSS (Common Vulnerability Scoring System) is de standaard die de ernst van een beveiligingslek uitdrukt in een score van 0,0 tot 10,0. De score staat meestal naast het CVE-nummer in een beveiligingsadvies. Een score van 0,1 tot 3,9 heet laag, tot en met 6,9 middel, tot en met 8,9 hoog en vanaf 9,0 kritiek. De basisscore volgt uit vaste vragen over het lek zelf. Kan een aanvaller het via het netwerk misbruiken, moet hij eerst inloggen of moet een gebruiker ergens op klikken? Daarnaast telt wat een aanvaller kan raken: vertrouwelijke gegevens, de juistheid van gegevens of de beschikbaarheid van het systeem. Een lek dat via internet zonder inloggen tot volledige overname leidt, komt in versie 3.1 uit op 9,8. Log4Shell kreeg in 2021 zelfs het maximum van 10,0. Sinds versie 4.0 uit 2023 vul je de basisscore aan met dreigingsinformatie, zoals of er al een werkende aanval rondgaat, en met gegevens over je eigen omgeving. Daarom hoort er een label bij de score: CVSS-B is alleen de basisscore, CVSS-BTE telt ook dreiging en omgeving mee. De twee PHP-lekken van oktober 2026 kregen een CVSS v4.0-score van 9,2, dus kritiek. Een hoge score betekent niet automatisch een groot risico voor jouw website. CVSS beschrijft het lek, niet hoe jouw software is ingericht, en is volgens de makers bedoeld als invoer voor je eigen risicoafweging. Bij het PHP-lek schatte het PHP-team het risico het hoogst in waar PHP als module in de webserver draait (mod\_php). Toch bleef bijwerken voor elke installatie de enige echte oplossing. ## Geschiedenis CVSS komt voort uit onderzoek van de Amerikaanse National Infrastructure Advisory Council (NIAC) in 2003 en 2004. Sinds 2005 beheert [FIRST](https://www.first.org/cvss/), het wereldwijde overleg van incidentteams, de standaard ([Wikipedia](https://en.wikipedia.org/wiki/Common_Vulnerability_Scoring_System)). Belangrijke mijlpalen: - **2005:** CVSS versie 1 verschijnt in februari - **2007:** Versie 2 lost problemen uit de eerste versie op - **2015:** Versie 3.0, in 2019 bijgewerkt tot [versie 3.1](https://www.first.org/cvss/v3.1/specification-document) - **2023:** Op 1 november verschijnt [CVSS v4.0](https://www.first.org/cvss/v4.0/specification-document), met de groepen Base, Threat, Environmental en Supplemental ## Bronnen 1. **FIRST (2023)** - [CVSS v4.0 Specification Document](https://www.first.org/cvss/v4.0/specification-document) 2. **FIRST (2019)** - [CVSS v3.1 Specification Document](https://www.first.org/cvss/v3.1/specification-document) 3. **FIRST** - [Common Vulnerability Scoring System SIG](https://www.first.org/cvss/) 4. **Wikipedia** - [Common Vulnerability Scoring System](https://en.wikipedia.org/wiki/Common_Vulnerability_Scoring_System) 5. **PHP (2026)** - [Upcoming critical PHP security release (CVSS v4.0 9,2)](https://www.php.net/archive/2026.php) ## Gerelateerde artikelen Beveiliging 22 okt 2026 [CVE-2026-109618 en -109619: de technische deepdive](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive) **Te technisch?** In [onze terugblik](https://www.keurigonline.nl/blog/php-lek-terugblik) lees je het verhaal zonder commando's. **Alleen weten of je iets moet doen?** Zie [de status van het PHP-lek](https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress). ## De twee bugs in de engine Het PHP-team kondigde op 20 oktober een beveiligingsrelease aan voor twee lekken met een CVSS v4.0-score van 9,2\[1\]. De beste openbare technische analyse is die van Daniele Berardinelli\[2\]. In het kort: - **CVE-2026-109618, een half afgemaakte HashTable-entry.** Bij het toevoegen van een element verhoogt PHP `nNumUsed` en `nNumOfElements` voordat de nieuwe key er echt staat. Faalt precies daar een geheugenallocatie, dan springt de memory-limit-afhandeling via `longjmp()` uit de engine en blijft een bucket achter die nooit is geïnitialiseerd. De opruimcode behandelt die bucket daarna als geldig. Een aanvaller stuurt de geheugenfout bewust naar die plek door de multipart-parser op te blazen met headers, lege file-velden en diep geneste veldnamen, en door de `Content-Length`-check op `post_max_size` te omzeilen met chunked HTTP/1.1 of HTTP/2 zonder lengte. Beveiliging 22 okt 2026 [Het PHP-lek van 21 oktober: wat we deden en waarom we online bleven](https://www.keurigonline.nl/blog/php-lek-terugblik) **Alleen weten of je iets moet doen?** Lees [de status van het PHP-lek en ons advies](https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress). **Meer techniek?** Configuraties, versies en hoe je een PHP-build zelf controleert, staan in [de technische deep dive over CVE-2026-109618](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive). Een kritiek lek in PHP raakt bijna elke website. WordPress, WooCommerce, Joomla en de meeste webwinkels draaien erop. Toen het PHP-team op dinsdag 20 oktober een beveiligingsupdate aankondigde voor twee lekken met een CVSS-score van 9,2, wisten we dat de dagen daarna spannend zouden worden. In dit artikel blikken we terug. Wat hebben we gedaan, welke keuzes hebben we gemaakt, en waarom hebben we onze servers niet offline gehaald, terwijl andere hosters dat wel deden? Alle updates zoals we ze die dagen publiceerden, staan in [ons eerdere artikel over het lek](https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress). Wil je de techniek tot op de configuratieregel, met versies, commando's en hoe je een PHP-build zelf controleert? Lees dan [onze technische deepdive](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive). Blog 21 okt 2026 [PHP-lek PHP2Shell (session.upload\_progress): status en wat je moet doen](https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress) ~~Let op: een onderhoudsmodus in WordPress of een andere plugin beschermt hier niet, want die draait zelf ook op PHP. Scherm je site daarom af voordat PHP aan de beurt is, bijvoorbeeld door in je .htaccess alleen je eigen IP-adres toe te laten. Wil je hulp daarbij? Neem contact met ons op.~~ ## Hoe het begon Op 20 oktober kondigde het PHP-securityteam een beveiligingsrelease aan voor twee kritieke kwetsbaarheden, allebei met een CVSS v4.0-score van 9,2. Online staan ze inmiddels bekend als PHP2Shell. De release verscheen op 21 oktober om 14:00 UTC, 16:00 uur Nederlandse tijd. Welke versies geraakt waren en welke de fix bevatten, publiceerde php.net pas bij de release zelf[\[1\]](https://www.php.net/archive/2026.php#2026-10-20-1). Normaal blijven de details tot de release geheim. Dit keer niet: kort na de aankondiging verschenen op internet onbevestigde technische details, en een tool die het lek zou misbruiken. Of die tool echt werkt, is onder beveiligingsonderzoekers omstreden. Bevestigd misbruik is er op dit moment niet[\[2\]](https://watchtowr.com/intelligence/php-cve-2026-109618-faq/).