Vragen en antwoorden

Elke release vóór 8.2.35, 8.3.36, 8.4.27 en 8.5.12. De onderzoekers vonden kwetsbare code tot en met PHP 5.4, en vrijwel elke versie daartussen wordt door minstens één van de twee CVE’s geraakt.

PHP 8.1, 8.0, 7.x en 5.x zijn end-of-life en krijgen geen nieuwe release. Het PHP-team publiceerde minimale source-backports voor 7.4, 8.0 en 8.1 voor wie PHP zelf bouwt; OS-leveranciers met verlengde ondersteuning leveren hun eigen gepatchte pakketten.

Nee. Dat waren de demodoelwitten. De bug zit in de PHP-interpreter, dus elke site op een kwetsbare PHP — Laravel, Symfony, Magento, Moodle, Nextcloud, MediaWiki, maatwerk, zelfs een “Hello World”-script — is blootgesteld.

Nee. De gedemonstreerde aanvallen werken vóór authenticatie en via gewone HTTP-requests. Er is geen login, plugin of speciaal endpoint nodig.

Allebei. Apache met mod_php is het duidelijkst te misbruiken (RCE bevestigd voor beide CVE’s met standaardlimieten). Op PHP-FPM is RCE via het sessiepad bevestigd, en het OOM-pad is volgens analyse kwetsbaar. FrankenPHP en LiteSpeed LSAPI worden als waarschijnlijk vatbaar beoordeeld.

De advisories richten zich op de afhandeling van webrequests. CLI-scripts worden bij normaal gebruik niet via HTTP bereikt, maar ze komen uit hetzelfde pakket en worden dus toch geüpgraded. Langlopende workers die requests afhandelen (Octane, RoadRunner, Swoole, FrankenPHP-workermodus) moet je als webgericht behandelen.

Niet per se. Debian, Ubuntu, RHEL en SUSE backporten security-fixes zonder de upstream-versie te wijzigen (bijvoorbeeld 8.3.6-0ubuntu0.24.04.x). Zoek CVE-2026-109618 in de changelog van het pakket — de patchgids heeft de exacte commando’s.

Installeer op elke runtime een gepatchte PHP-release (of het gepatchte pakket van je leverancier) en herstart daarna PHP-FPM, Apache en langlopende PHP-processen. Dat is de enige volledige oplossing. Applicatie-updates en configuratiewijzigingen vervangen het niet.

Kies een gepatchte PHP-build en laat je host de herstart van workers bevestigen. Vraag bij PHP 8.1 of ouder naar een vendor-backport voor beide CVE’s; het branchnummer bewijst de patchstatus niet.

Kijk of je OS-leverancier (RHEL, Ubuntu Pro / ESM, Debian LTS, CloudLinux) een gepatcht pakket levert — LTS-leveranciers kregen de fixes vooraf. Bouw je PHP zelf, pas dan de source-backport van het PHP-team voor 7.4, 8.0 of 8.1 toe. Pas in de tussentijd de tijdelijke mitigaties toe, houd een WAF ervoor en plan de migratie naar 8.4 of 8.5.

Gedeeltelijk. Cloudflare, Akamai, Imperva en anderen publiceerden regels of richtlijnen, en Cloudflare dekt ook het Free-abonnement. Maar de dekking hangt af van de aanbieder en het aanvalspad, en aanvallers passen payloads al aan om eromheen te komen. Zie een WAF als tijd om te patchen, niet als oplossing.

Dit zijn patchreleases binnen dezelfde branch, dus de compatibiliteit van applicaties blijft normaal gesproken gelijk. Eén gedragswijziging: de nieuwe harde geheugenlimiet beëindigt het proces direct, waardoor shutdown-functies in dat geval niet draaien. Test geheugenintensieve paden.

Alles in het geheugen van de PHP-worker: databasewachtwoorden, API-sleutels, sessiecookies, requestdata van andere gebruikers en certificaten of sleutels die PHP heeft geladen. Dit pad vereist geen code-uitvoering, dus het is stiller.

Cloudflare meldde op 21 oktober 2026 eerste aanvallen, met payloads die werden aangepast om regels te ontwijken, en watchTowr meldde misbruik in zijn honeypots. Er was geen bevestigde inbraak gepubliceerd. Het embargo lekte vóór de release, dus ga ervan uit dat capabele aanvallers werkende exploits hebben.

Niet met zekerheid. Bruikbare signalen zijn fatale memory-limit-fouten na multipart-requests, pieken van HTTP 500, segfaults van workers en ongewoon lange of percent-gecodeerde PHPSESSID-cookies. Het ontbreken ervan bewijst niet dat je veilig bent, en applicatielogs kunnen niets tonen omdat de bug onder de applicatie draait.

Bewaar de logs, patch of isoleer de host (opnieuw opbouwen vanuit een schoon image is het beste), vervang elk geheim dat PHP in het geheugen kon zien, maak sessies ongeldig en bekijk waar die inloggegevens toegang toe geven.

php2shell is de naam van het gecombineerde exploitscript waarmee onderzoekers remote code execution zonder authenticatie op WordPress, Drupal en Joomla lieten zien. Het werd ook de naam van het onderzoek.

Wiz Research, OpenAI Codex Security en Calif, die tussen augustus en september 2026 onafhankelijk van elkaar meldden, terwijl het PHP-securityteam de fix ontwikkelde. Volgens Wiz hielpen AI-modellen bij het vinden, het ontwikkelen van exploits en het valideren van de patch.

De CVE-ID’s lekten vóór de release uit met een onjuiste score van 10.0. De officiële CVSS 4.0-score voor beide CVE’s is 9.2.