De IT-wereld staat momenteel op zijn kop: het PHP-project heeft aangekondigd dat er op woensdag 21 oktober twee ernstige beveiligingslekken (CVE-2026-109618 en CVE-2026-109619) bekend zullen worden gemaakt. Deze kwetsbaarheden, met een extreem hoge CVSS-score van 9,2, vormen een bedreiging voor vrijwel alle huidige en zelfs veel oudere PHP-versies – tot en met het meer dan 20 jaar oude PHP 5.
Bijzonder zorgwekkend: volgens beveiligingsexperts stellen de kwetsbaarheden aanvallers in staat om onbeveiligde webservers van buitenaf volledig over te nemen. Eerste videobewijzen laten zien hoe systemen met veelgebruikte applicaties zoals WordPress, Mediawiki, Drupal of phpBB met weinig moeite kunnen worden gecompromitteerd. De naam „PHP2Shell“ die de ronde doet, duidt er al op dat er een volledig verlies van controle over de getroffen systemen dreigt.
De omvang is aanzienlijk: volgens schattingen zijn ongeveer 1,3 miljoen hosts op het internet getroffen. Het wordt vooral riskant voor beheerders van oude of onvolledig gepatchte systemen die al lang niet meer worden ondersteund – en juist zulke systemen zijn ook vandaag de dag nog in grote getale in gebruik.
Er is een race tegen de klok begonnen: experts verwachten dat aanvallers onmiddellijk na de publicatie van de exploit-details zullen beginnen met geautomatiseerde aanvallen. Wie aan de veilige kant wil blijven, moet ter voorbereiding alle nodige maatregelen nemen en updates zo snel mogelijk installeren. Volgens de ontwikkelaars gaat het om een gecombineerde onderhouds- en beveiligingsupdate, die in totaal zeven beveiligingscorrecties en vier bugfixes bevat. Daarom raden we jullie aan om jullie installaties zo snel mogelijk bij te werken.
Bron: persbureaus
