De makers van PHP waarschuwen websitebeheerders en softwareontwikkelaars voor twee ernstige PHP-bugs. Het gaat om zogeheten ‘remote code execution’-kwetsbaarheden. Dit betekent dat kwaadwillenden van afstand schadelijke code kunnen uitvoeren op een server. Beveiligingsexperts melden dat de gaten in de software relatief eenvoudig uit te buiten zijn. De officiële details volgen later vandaag, maar de urgentie is nu al hoog.
PHP beveiligingslekken
Het softwareplatform brengt spoedig een beveiligingsupdate uit om de problemen op te lossen. De twee PHP-bugs hebben een score van 9.2 gekregen op de schaal van het Common Vulnerability Scoring System (CVSS). Deze schaal loopt tot 10. Een score van 9.2 wijst op een zeer grote impact en een hoog risico op misbruik. Oorspronkelijk stond de bekendmaking gepland voor donderdag. Omdat informatie over de lekken voortijdig uitlekte op het internetplatform Hacker News, is de waarschuwing naar voren gehaald.
Proof of concept online te vinden
Inmiddels is er meer bekend over de aard van de PHP-bugs. Onderzoekers van het beveiligingsbedrijf Watchtowr hebben de kwetsbaarheden geïdentificeerd onder de codes CVE-2026-109618 en CVE-2026-109619. Hoewel de officiële documentatie nog niet is vrijgegeven, circuleert er online al een demonstratievideo. In deze video is te zien hoe de loginprocedure van populaire systemen zoals WordPress en Joomla kan worden omzeild. Ook laat het zien hoe de software wachtwoorden kan achterhalen binnen het veelgebruikte Symfony-framework.
Grote impact op websites
De demonstratie kreeg de naam PHP2Shell. De video laat zien dat aanvallers met een simpel script toegang kunnen krijgen tot servers. Dit maakt de situatie extra zorgwekkend. PHP vormt de basis van miljoenen websites wereldwijd. Volgens de eerste schattingen van Watchtowr zijn mogelijk alle softwareversies sinds PHP 5 kwetsbaar voor deze specifieke PHP-bugs.
Beveiligingsbedrijven adviseren systeembeheerders om direct in kaart te brengen welke versies van de software binnen hun organisatie draaien. Het is noodzakelijk om updates direct te installeren zodra de officiële herstelplekken beschikbaar komen. Dit voorkomt dat kwaadwillenden misbruik maken van de situatie voordat de systemen zijn bijgewerkt.