Kritieke PHP-lekken: wat je vandaag regelt

Op 20 oktober publiceerde CERT-EU, het cybersecurityteam van de Europese instellingen, advies 2026-018. Het gaat over twee lekken in PHP, bekend als CVE-2026-109618 en CVE-2026-109619. Beide krijgen een CVSS-score van 9,2. Volgens het advies kan een aanvaller via deze lekken mogelijk code uitvoeren op een server, zonder eerst in te loggen. Het PHP-team brengt op 21 oktober om 14:00 uur UTC (16:00 uur Nederlandse tijd) een beveiligingsupdate uit. Technische details zijn nog niet openbaar.

Waarom dit ook jouw organisatie raakt

PHP is de programmeertaal onder een groot deel van het web. WordPress draait erop, net als veel webshops, klantportalen, intranetten, webmail en de beheerpanelen van hostingpakketten. Volgens CERT-EU kunnen alle PHP-versies vanaf PHP 5 geraakt zijn. Ook een oude website die al jaren niemand meer aanraakt, telt dus mee.

Een lek waarbij een aanvaller zonder inlog code kan uitvoeren, is het soort lek dat binnen dagen na de patch op grote schaal wordt misbruikt. Aanvallers vergelijken de oude en nieuwe versie en zien dan precies waar het zat. De tijd tussen de update en de eerste aanvallen is daarom kort.

Wat je vandaag regelt

1. Maak een lijst van alles wat op PHP kan draaien: je website, webshop, klantportaal, webmail en het beheerpaneel van je hosting. Weet je het niet zeker, vraag het dan aan je webbouwer of hostingpartij.
2. Vraag je hostingpartij of zij de PHP-update na 16:00 uur Nederlandse tijd doorvoeren, en wanneer. Bij gedeelde hosting doen zij het meestal zelf; bij een eigen server of VPS ben je het vaak zelf.
3. Installeer de update zodra die er is. Wacht niet tot het eerstvolgende onderhoudsmoment.
4. Lukt bijwerken niet snel, haal de toepassing dan tijdelijk van het internet of zet hem achter een inlog. Dat is ook het advies van CERT-EU.
5. Leg vast wat je hebt gedaan en wanneer. Valt je organisatie onder NIS2, of vraagt een klant om bewijs van je beveiliging, dan heb je dat meteen bij de hand.

En Stilops zelf

Stilops gebruikt geen PHP. We hebben de code en de manier waarop onze servers worden ingericht nagelopen op het advies, en PHP komt er niet in voor. Voor klanten van Stilops verandert er door dit lek dus niets aan de dienst. Bij leveranciers waar wij zelf gebruik van maken, volgen we hun updates.

Wel kan een Stilops-agent helpen bij de eerste stap: op basis van wat je vertelt over je website en systemen een lijst maken van wat op PHP kan draaien, en per onderdeel een bericht aan je hostingpartij of webbouwer klaarzetten. Versturen doe je zelf, zoals altijd na jouw akkoord.