Wat er gebeurde
Op 21 oktober 2026 bracht PHP fixes uit voor twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Ze maken het mogelijk om op afstand code uit te voeren zonder in te loggen, met een CVSS v4.0-score van 9.2. Volgens PHP zijn alle installaties die webverzoeken verwerken getroffen, waaronder PHP-FPM, Apache mod_php en php-cgi. De fixes zitten in versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
PHP 8.1 en ouder worden niet langer officieel ondersteund. Een fix hangt dan af van je Linux-distributie, een LTS-leverancier of een eigen backport. Dat raakt veel organisaties: volgens W3Techs draait 34,7% van de websites met PHP nog op versie 7 of ouder. Nu de technische details publiek zijn, is de kans op misbruik reëel.
Patchen is stap één. Drie vragen blijven
- Wat als je niet meteen kunt updaten? Oude code, afhankelijkheid van leveranciers of een niet-ondersteunde PHP-versie los je niet in één nacht op.
- Was je al gecompromitteerd voor je patchte? Een patch sluit de deur, maar haalt geen indringer weg.
- Hoe vermijd je de volgende race tegen de klok? Dit wordt niet het laatste kritieke lek in je webomgeving.
Ons antwoord op één pagina
In onze advisory lees je welke PHP-versies getroffen zijn, waarom oudere versies een extra risico vormen en hoe je in drie stappen te werk gaat: afschermen, nagaan en oplossen. Je ontdekt ook of jouw organisatie nu in actie moet komen.
Lees ook –> ‘Waarom een goed afgestelde WAF belangrijk is‘
Download de volledige aanpak
We bundelden alles op één pagina: wat er gebeurde, de drie open vragen en onze aanpak.
Liever meteen praten? Plan een kort gesprek om je PHP-blootstelling in kaart te brengen: sales@approach-cyber.com of +32 15 50 44 00.