Het gaat om de kwetsbaarheden met de kenmerk CVE-2026-109618 en CVE-2026-109619 die beide een Common Vulnerability (CVSS) score hebben van 9,2 op een schaal van 10.
Voor de ondersteunde PHP-versies zijn updates beschikbaar naar:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Wat moet je doen?
Z-CERT adviseert organisaties om met spoed de beveiligingsupdates te installeren. Controleer zo spoedig mogelijk welke PHP-versies in gebruik. Houd er rekening mee dat updates via Linux-distributies, hostingpartijen en leveranciers mogelijk niet direct beschikbaar zijn.
Controleer na installatie of applicaties daadwerkelijk gebruikmaken van de bijgewerkte PHP-runtime. Voor niet-ondersteunde (end-of-life) PHP-versies zijn geen beveiligingsupdates beschikbaar.
Wanneer direct patchen niet mogelijk is, maak dan een risicoafweging en overweeg om het betreffende systeem tijdelijk offline te halen totdat de update kan worden geïnstalleerd.
Let op: Linux-distributies hanteren hun eigen tijdlijnen voor updates. Het kan dus zijn dat de update voor jouw systemen later beschikbaar zijn. Een aantal voorbeeld hiervan zijn Debian, Ubuntu, Fedora, AlmaLinux en RedHat.
Meer informatie is beschikbaar via de beveiligingsadviezen van PHP en leveranciers van besturingssystemen.