Entrada Suite is tijdelijk niet bereikbaar

Wat is er aan de hand?

PHP is een scriptingtaal waarmee dynamische webpagina’s worden gemaakt. Een groot deel van het web draait erop, onder meer via WordPress, Joomla, Drupal en Magento. Ook delen van onze stack gebruiken PHP.

De PHP-ontwikkelaars waren van plan hun patches later uit te brengen, maar informatie over de kwetsbaarheden lekte uit. Het ontwikkelteam komt met meer informatie en verwacht dan ook de patches. Online gaan tips rond over beperkende maatregelen, maar die lijken onvoldoende bescherming te bieden. Onder meer Tweakers, RTL Nieuws, Mijnoverheid.nl, DigiD en de website van de Tweede Kamer gingen uit voorzorg offline. Wij doen hetzelfde.

Websites overnemen

De twee kritieke kwetsbaarheden in PHP (CVE-2026-109618 en CVE-2026-109619) hebben een score van 9,2 op de CVSS v4.0-schaal, die tot 10 gaat. Dat cijfer is gebaseerd op de ernst en op hoe makkelijk aanvallers die kunnen misbruiken. De fouten zouden al sinds PHP 5.4.0 (maart 2012) in de taal zitten.

Aanvallers kunnen daardoor eigen webpagina’s publiceren en mogelijk malware verspreiden. De zogeheten PHP2Shell-exploit zou het mogelijk maken om eigen code uit te voeren op kwetsbare servers.

Alleen patchen beschermt echt

De verwachte patches zijn voor PHP 8.2 tot en met 8.5. Die versies krijgen nog ondersteuning. Oudere versies, die ook kwetsbaar zijn, krijgen officieel geen patches meer. PHP 8.1 is sinds januari 2026 end-of-life, PHP 8.0 sinds eind 2023. Gebruikers van oudere versies krijgen normaal gesproken al het advies om zo snel mogelijk te upgraden, omdat zij anders kwetsbaar blijven. Het is niet zeker of deze oudere versies echt geen patches ontvangen voor deze kritieke kwetsbaarheden. Wij blijven offline tot we veilig kunnen bijwerken.