PHP foundation meldt twee kritieke kwetsbaarheden met risico op remote code execution; patch gepland voor 21 oktober 2026.
Op 20 oktober 2026 heeft de PHP foundation een beveiligingsupdate aangekondigd die twee kritieke kwetsbaarheden in PHP adresseert. Deze kwetsbaarheden kunnen mogelijk leiden tot remote code execution zonder authenticatie, wat een ernstig beveiligingsrisico vormt voor systemen die PHP gebruiken.
Er zijn op dit moment nog geen technische details openbaar gemaakt over de kwetsbaarheden, die geregistreerd staan als CVE-2026-109618 en CVE-2026-109619. Beide hebben een CVSS-score van 9.2, wat wijst op een hoge impact en exploitatiemogelijkheid. De kwetsbaarheden betreffen alle PHP-versies vanaf PHP 5 en hoger.
De PHP foundation heeft de patch gepland voor uitgave op 21 oktober 2026 om 14:00 UTC. CERT-EU adviseert organisaties om hun PHP-gebaseerde applicaties te identificeren en zich voor te bereiden op directe patching zodra de updates beschikbaar zijn. Indien onmiddellijke patching niet mogelijk is, wordt aanbevolen om internetgerichte applicaties tijdelijk te isoleren van publieke netwerken totdat de fix is toegepast.
Deze waarschuwing benadrukt het belang van tijdige updates en het beperken van blootstelling van kwetsbare systemen aan het internet. Organisaties wordt geadviseerd de ontwikkelingen nauwgezet te volgen via officiële kanalen zoals de PHP foundation en aanvullende analyses zoals die van security experts.
