PHP beveiligingsupdates worden uitgevoerd na twee ernstige kwetsbaarheden

Auteur: Sander Terpstra
Leestijd: 3 minuten lezen

Het PHP-team heeft gewaarschuwd voor twee kritieke kwetsbaarheden in PHP, de programmeertaal waarop een groot deel van alle websites en webapplicaties draait. Vandaag, woensdag 21-10-2026 om 16:00 uur, verschijnt een beveiligingsupdate. Inmiddels zijn de updates binnen en zijn wij daarmee aan de slag gegaan! Een deel van de websites en webapplicaties die wij voor onze klanten bouwen en beheren draaien op PHP. In dit artikel lees je wat er speelt en wat dit voor jou betekent.

1. Tijdlijn en updates

Hier houden we je op de hoogte. De nieuwste update staat bovenaan.

21-10-2026, 16:30 – Sommige klanten hebben een mail van ons ontvangen betreffende een DNS aanpassing.
21-10-2026, 15:45 – PHP heeft de patches uitgebracht, hier gaan wij zo snel mogelijk mee aan de slag!
21-10-2026, ≈ 16:00 – PHP brengt de beveiligingsupdate uit.
21-10-2026, 12:00 – Skeps zet alle PHP websites en applicates offline
21-10-2026 – Skeps zet uit voorzorg alle kritieke applicaties met het meeste risico offline.
21-10-2026, 11:00 – Skeps volgt de ontwikkelingen en bereidt de updates voor.
20-10-2026 – PHP maakt twee kritieke kwetsbaarheden bekend: CVE-2026-109618 en CVE-2026-109619.

2. Wat is er aan de hand?

Op 20-10-2026 kondigde PHP twee kritieke kwetsbaarheden aan: CVE-2026-109618 en CVE-2026-109619. Beide krijgen een ernstscore van 9,2 op 10. Volgens beveiligingsonderzoekers gaat het om zogeheten remote code execution: een aanvaller kan dan op afstand eigen code uitvoeren op een server.

Wat we op dit moment weten:

Welke versies: onderzoekers melden dat PHP 5 tot en met 8 geraakt zou zijn. PHP publiceert de officiële lijst pas bij de update.
Misbruik: er is nog geen misbruik in de praktijk gezien en er is geen openbare aanvalscode bekend.
Technische details: die zijn nog niet openbaar. Daardoor is ook nog niet duidelijk onder welke instellingen een server kwetsbaar is.
Oplossing: de beveiligingsupdate verschijnt vandaag om 16:00 uur. De details volgen tegelijk met die release.

Waarom de haast? Informatie over deze kwetsbaarheden is vroegtijdig uitgelekt, voordat de oplossing klaar was. Daardoor kunnen kwaadwillenden er eerder mee aan de slag. PHP heeft de update daarom naar voren gehaald, en snel updaten is extra belangrijk.

3. Wat betekent dit voor jouw website of webapplicatie?

Draait je website of webapplicatie op PHP, dan is de kans groot dat deze update ook voor jou relevant is. Dat geldt voor maatwerkapplicaties in Laravel, maar ook voor websites op WordPress, Drupal of andere PHP-systemen.

Het grootste risico zit bij oude PHP-versies. Volgens onderzoekers krijgen PHP 5, 7, 8.0 en 8.1 mogelijk geen update meer, omdat die versies niet meer ondersteund worden. Draait jouw website of applicatie nog op zo'n versie, dan is upgraden de enige structurele oplossing.

4. Wat doet Skeps?

We volgen de release van PHP op de voet. Zodra de update en de details beschikbaar zijn, beoordelen we welke websites en webapplicaties geraakt worden en plannen we de updates in.

Uit voorzorg zetten we alle kritieke applicaties met het meeste risico offline.

Draait jouw website of applicatie op een oude PHP-versie? Dan nemen we contact met je op om de mogelijkheden voor een upgrade te bespreken.

5. Wat kun je zelf doen?

Weet waar je op draait. Heb je naast je website of applicatie ook andere PHP-systemen, zoals een webshop of intranet bij een andere partij? Laat ook daar controleren of de update wordt uitgevoerd.
Let op oude versies. Een PHP-versie die geen updates meer krijgt, blijft kwetsbaar. Plan een upgrade in als dat nog niet gebeurd is.
Twijfel je? Neem contact op. Weet je niet zeker of jouw website of applicatie geraakt wordt, of op welke PHP-versie die draait? Neem contact met ons op, dan kijken we met je mee.