Hoewel er aanwijzingen zijn voor misbruik van recente PHP-kwetsbaarheden, blijkt het risico op grootschalige aanvallen kleiner dan aanvankelijk gedacht.
De recent ontdekte kwetsbaarheden in PHP worden mogelijk misbruikt, maar het risico op grootschalige aanvallen blijkt kleiner dan aanvankelijk werd gevreesd. Het Nationaal Cyber Security Centrum (NCSC) ontving een melding van mogelijk misbruik in het buitenland, maar bevestiging van een succesvolle aanval ontbreekt. Er zijn wel zogenoemde proof of concepts (poc’s) bekend, wat betekent dat de kwetsbaarheden exploiteerbaar zijn.
Onderzoek laat zien dat het misbruiken van deze kwetsbaarheden complex is, waardoor de kans op grootschalig misbruik kleiner is dan eerder ingeschat. De nieuwste PHP-updates lijken effectief. De PHP Foundation maakte vrijdag een nieuwe kwetsbaarheid bekend (CVE-2026-115560), waarvan het onwaarschijnlijk is dat deze leidt tot Remote Code Executie (RCE). Deze kwetsbaarheid wordt in een volgende bugfix release opgelost.
Afgelopen woensdag werden veel websites tijdelijk offline gehaald. Na het uitbrengen van patches door de PHP-organisatie kwamen deze sites geleidelijk weer online. Volgens MindYourPass, een bedrijf uit Eindhoven dat applicatiegebruik monitort, heeft slechts de helft van de Nederlandse PHP-gebruikers de beveiligingsupdates geïnstalleerd. De overige sites blijven kwetsbaar. Het NCSC adviseert organisaties om niet te wachten op signalen van misbruik, maar direct te patchen.
Minister David van Weel (Justitie en Veiligheid) beschreef in een brief aan de Tweede Kamer dat de kwetsbaarheden een weeffout in de software betreffen. Kwaadwillenden zouden via deze lekken op afstand commando’s kunnen uitvoeren, ook wel Remote Code Execution genoemd. Alle PHP-versies vanaf 5 zijn kwetsbaar, inclusief oudere versies die niet meer worden ondersteund. Dit betekent dat niet alleen websites, maar ook diverse andere producten risico lopen, vooral als zij afhankelijk zijn van PHP in de leveranciersketen.
PHP-ontwikkelaars verwijten softwarebeveiliger Chainguard het schenden van een embargo op kritieke kwetsbaarheden, zo meldde het Britse Computing. Chainguard publiceerde beveiligingsupdates ruim zes uur vóór de geplande bekendmaking, waardoor aanvallers de kans kregen om de zwakheden te bestuderen en mogelijk te misbruiken voordat gebruikers konden patchen. Volgens Chainguard-ceo Dan Lorenc was deze vroege vrijgave noodzakelijk vanwege meldingen van actieve exploitatiepogingen en de vrees dat aanvallers kwetsbare systemen al in het vizier hadden.
Matthew Prince, ceo van Cloudflare, meldde dat zijn netwerk in de tien uur vóór de publieke bekendmaking duizenden pogingen registreerde om de kwetsbaarheden te misbruiken. Dit aantal steeg tot tienduizenden binnen 45 minuten na de bekendmaking, honderdduizenden binnen twee uur en inmiddels zijn er miljoenen pogingen gedetecteerd.
