| CVE's | CVE-2026-109618, CVE-2026-109619 |
| Ernst | Kritiek (CVSS 9,2), remote code execution |
| Patch | PHP: beschikbaar sinds 21 okt (8.2.35, 8.3.36, 8.4.27, 8.5.12). PAN-OS: nog niet beschikbaar. |
| Aanvallen | Ongepatchte systemen worden zeer snel aangevallen |
| ON2IT | Eigen platforms niet kwetsbaar |
In PHP zelf zijn twee zeer kritieke kwetsbaarheden gevonden: CVE-2026-109618 en CVE-2026-109619, met de bijnaam php2shell. Beide hebben een CVSS v4.0-score van 9,2 en maken remote code execution op kwetsbare servers mogelijk. De details lekten uit voordat er een fix was. Het PHP-securityteam bracht op 21 oktober 2026 gepatchte versies uit.
Lees het hele verhaal van die dag: wat hield onze klanten veilig vóór de patch.
Update 22 oktober, 13:30 uur: Palo Alto Networks PAN-OS
Palo Alto Networks bevestigt dat PAN-OS en Panorama getroffen zijn, via de management interface. Een fix voor PAN-OS is er nog niet. Beperk tot die tijd de toegang tot de management interface tot vertrouwde interne IP-adressen, zoals Palo Alto Networks aanraadt. Details en gepatchte versies staan in de advisory van Palo Alto Networks.
Beheerde klanten van ON2IT informeren we rechtstreeks.
Update 22 oktober, 11:30 uur: patch beschikbaar, aanvallen gaan snel
Er is nu een patch in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Installeer die direct. Wel is nog niet volledig duidelijk of deze patch alle problemen verhelpt. De analyse van de kwetsbaarheden loopt nog, en oudere PHP-versies (8.1 en ouder) hebben geen officiële gepatchte release.
Inmiddels is bekend: wie niet gepatcht is, wordt zeer snel aangevallen. Er worden al exploitpogingen waargenomen. Ga ervan uit dat elk ongepatcht PHP-systeem dat aan internet hangt een doelwit is.
Wie loopt risico
Elk systeem dat PHP draait. En een groot deel van het internet draait op PHP. Niet alleen websites en webapplicaties, maar ook hostingplatforms, appliances en software van derden met ingebouwde PHP, vaak zonder dat het zichtbaar is. Versies van vóór de gepatchte releases zijn getroffen. PHP 7.4 tot en met 8.1 krijgen geen officiële gepatchte release, alleen beperkte broncode-fixes van het PHP-securityteam. End-of-life versies (7.3 en ouder) krijgen helemaal geen fix.
Wat je moet doen
- Breng elk systeem met PHP in kaart, ook de minder voor de hand liggende.
- Patch nu, te beginnen bij systemen die aan internet hangen. Wacht niet.
- Haal systemen die je niet kunt patchen offline, of beperk de toegang ertoe.
- Zie de patch niet als eindpunt. Blijf PHP-systemen monitoren op verdachte activiteit en volg de updates van het PHP-securityteam.
Volg de officiële richtlijnen van het NCSC en gebruik hun beveiligingsadviezen als bron. Voor de getroffen versies en de fix zelf: zie php.net.
Status ON2IT
- De eigen platforms van ON2IT zijn niet kwetsbaar. Onze websites on2it.net en on2it.nl gebruiken ook geen PHP.
- Uit voorzorg hebben we een aantal systemen tijdelijk offline gehaald.
- Onze klanten zijn geïnformeerd. Hulp nodig? Bel ons 24/7 GSOC: +31 (88) 22-66-201.
De PHP-patch is er, maar het is nog niet zeker dat die alle problemen verhelpt. Patch nu en blijf alert. Een fix voor PAN-OS volgt nog.
We werken deze pagina bij zodra er nieuwe informatie is. Laatst bijgewerkt: 22 oktober 2026, 13:30 uur.