Er zijn twee kritieke kwetsbaarheden in PHP bekend geworden, de programmeertaal waarop onder meer WordPress, Joomla, Drupal en Magento draaien. Het PHP-beveiligingsteam heeft een patch gepland voor vandaag om 16:00 uur. Zodra die beschikbaar is, installeren wij hem zo snel mogelijk op de PHP-omgevingen die wij beheren. In dit bericht leest u wat er speelt en wat u zelf kunt doen.
Wat is er aan de hand?
Het gaat om twee lekken in PHP zelf, bekend als CVE-2026-109618 en CVE-2026-109619. Beide hebben de officiële ernstscore 9.2 (kritiek). Een aanvaller kan er mogelijk eigen code mee uitvoeren op de webserver.
De details zijn op 20 oktober uitgelekt, een dag vóór de geplande bekendmaking. Beveiligingsbedrijf Patchstack meldt dat er al misbruik wordt gezien bij meerdere hostingpartijen. Andere onderzoekers hebben nog geen misbruik vastgesteld. Wij gaan ervan uit dat aanvallers er actief naar zoeken.
Wie is geraakt?
Omdat het lek in PHP zit en niet in een plugin of thema, is elke website op een kwetsbare PHP-versie geraakt. Dat geldt voor WordPress, maar ook voor Joomla, Drupal, Magento, Laravel en eigen PHP-toepassingen.
Welke versies precies kwetsbaar zijn, maakt PHP vandaag bekend samen met de patch. Volgens de eerste berichten krijgen alleen de ondersteunde versies (PHP 8.2 en hoger) een patch. Draait uw site op PHP 7, 8.0 of 8.1, dan komt er waarschijnlijk geen oplossing en is een upgrade naar een nieuwere versie nodig.
Wat doet Universal.Cloud?
- Patchen zodra het kan: zodra de patch beschikbaar is, installeren wij die zo snel mogelijk op alle PHP-omgevingen die wij voor klanten beheren.
- Oudere PHP-versies: draait een door ons beheerde omgeving op een versie zonder patch, dan nemen wij contact met u op over een upgrade of tijdelijke afscherming.
- Onze eigen website en sites op uCompose: die zijn statisch en draaien niet op PHP. Ze zijn niet geraakt.
Wat kunt u zelf doen?
- Zoek uit op welke PHP-versie uw site draait, ook test- en stagingomgevingen. In WordPress ziet u dit onder *Hulpmiddelen > Sitestatus > Info > Server*.
- Vraag uw hostingpartij wanneer zij patchen, als uw site niet bij ons wordt beheerd.
- Overweeg een tijdelijke onderhoudsmodus tot de patch is geïnstalleerd, vooral als u verdachte activiteit ziet. Voor ondersteunde PHP-versies gaat het om een paar uur.
- Scherm beheeromgevingen af: maak inlogpagina's en interne PHP-toepassingen tijdelijk alleen bereikbaar vanaf vertrouwde netwerken.
- Gebruik geen onofficiële "fix"-plugins of gekopieerde codefragmenten. Wacht op de officiële patch.
- Gebruikt u UpdraftCentral? Los van dit PHP-lek worden gestolen UpdraftCentral-sleutels misbruikt om backdoors in WordPress-sites te plaatsen. Verwijder bestaande sleutels en maak zo nodig nieuwe aan.
Vragen?
Twijfelt u of uw website kwetsbaar is, of wilt u hulp bij het controleren of upgraden? Neem contact op met onze servicedesk via support@universal.cloud. Wij werken dit bericht bij zodra de officiële details van PHP bekend zijn.
Wilt u in de toekomst minder afhankelijk zijn van dit soort updates? Lees waarom statische websites inherent veiliger zijn dan een CMS. Met uCompose beheert u een statische website zonder PHP, database of plugins: u beschrijft wijzigingen in gewone taal en publiceert met één klik. Universal.Cloud zet uw huidige website binnen 48 uur om naar deze veilige omgeving. Mail ons via support@universal.cloud om dit te bespreken.
