Het PHP-lek waar sinds 21 oktober iedereen over praat, treft vrijwel elke website die op PHP draait, ook WordPress-sites. Het PHP-project bracht die dag beveiligingsupdates uit voor twee kritieke kwetsbaarheden die zonder inlog op afstand code kunnen uitvoeren. Gevonden werden ze met hulp van AI-modellen van OpenAI en beveiligingsbedrijf Wiz.
Wat is er aan de hand?
Het gaat om twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Volgens php.net kan PHP bij een tekort aan geheugen worden onderbroken terwijl gegevens van een verzoek half zijn ingesteld, waarna het opruimen die gegevens voor geldig aanziet. In het tweede geval overleeft toestand van een verzoek nadat het geheugen is vrijgegeven, en kan een later verzoek op dezelfde worker die gebruiken. Beide kunnen leiden tot het op afstand uitvoeren van code zonder authenticatie. De PHP Foundation geeft de ernst aan als CVSS 9,2 en zegt dat de 10,0 die na een uitgelekte aankondiging rondging niet klopte.
Het risico is volgens PHP het grootst bij mod_php, de koppeling waarbij Apache PHP zelf draait. Daar kan een verzoek de fout al raken voordat de code van de website draait. Wiz schrijft dat de fouten in PHP zelf zitten, los van de applicatie erbovenop, en dat zelfs een simpele "Hello World"-pagina kwetsbaar kan zijn. Wiz liet werkende aanvallen zien op de nieuwste containerversies van WordPress, Drupal en Joomla. Het zegt ook dat vrijwel elke PHP-versie van het afgelopen decennium door minstens één van de fouten wordt geraakt, terug tot versie 5.4.
Welke versies zijn verholpen?
PHP bracht op 21 oktober 2026 deze versies uit:
| Reeks | Verholpen in |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Het Nederlandse NCSC publiceerde dezelfde dag advisory NCSC-2026-0443 met prioriteit "hoog": alle PHP-installaties die webverzoeken verwerken zijn getroffen en updaten is het advies. PHP 8.1 en ouder krijgen geen reguliere updates meer. Vanwege de ernst stelde het PHP-team toch minimale broncodepatches beschikbaar voor PHP 7.4, 8.0 en 8.1. PHP 8.2 zelf verloopt op 31 december 2026.
Kun je niet meteen updaten, dan noemt php.net tijdelijke maatregelen in php.ini, zoals session.upload_progress.enabled = 0. Die verkleinen het risico alleen. Volgens zowel PHP, Wiz als het NCSC haalt alleen de update het lek echt weg.
Wat betekent dit voor jou?
Heb je een website, webshop of WordPress-site, dan draait die vrijwel zeker op PHP. Meestal regelt je hostingpartij de serverkant, dus:
- Zoek in het controlepaneel van je hosting op welke PHP-versie je site gebruikt. Veel hosters laten je die daar kiezen. Vraag anders de support.
- Kies of laat zetten op een versie die de fix heeft: 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Vraag je hoster of de patch al is uitgerold.
- Draait je site op PHP 8.1 of ouder, schakel dan over naar een nieuwere reeks, of vraag je hoster naar een gepatchte variant. Test eerst of je plugins en thema's de nieuwe versie aankunnen, want oude WordPress-plugins breken soms.
- Beheer je zelf een server, installeer dan de update van je Linux-distributie en herstart PHP.
Een WordPress-update alleen is niet genoeg: het lek zit in PHP, niet in WordPress.
AI vindt de gaten, ook voor aanvallers
OpenAI schrijft dat bureau Calif een van de fouten vond met GPT-5.6 Sol, binnen OpenAI's initiatief Patch the Planet, en dat Wiz beide kwetsbaarheden onafhankelijk meldde. Wiz zegt Gemini 4 Argon en GPT-5.6 Sol te hebben gebruikt (zie ook Gemini 4 Argon) en dat een onderzoeker in een week deed wat anders een topteam maanden kost. De PHP Foundation benadrukt dat AI vooral helpt bij het controleren van meldingen, en dat mensen elk besluit nemen en elke patch maken. OpenAI deelt ook een PHP-versiechecker als Codex-skill voor beheerders.
OpenAI waarschuwt zelf dat dezelfde technieken aanvallers helpen sneller exploits te maken, en verwacht dat dit soort vondsten snel toeneemt. Meer over een ander recent beveiligingsincident lees je in onze uitleg over de OpenCode-hack.
Bronnen
- Today's PHP security release and how we're strengthening PHP security (PHP Foundation, 21 oktober 2026)
- PHP.net, nieuws en releases (21 oktober 2026)
- Patch the Planet: global response coordination as agents uncover critical vulnerabilities (OpenAI)
- PHP2Shell: PHP Core RCE and Memory Disclosure (Wiz)
- NCSC-2026-0443: Kwetsbaarheden verholpen in PHP (NCSC)
Eindredactie: Jan van Musscher, hoofdredacteur · Zo werken we
Zie AI Nieuws Daily vaker in Google: voeg ons toe als voorkeursbron
