| CVE's | CVE-2026-109618, CVE-2026-109619 |
| Ernst | Kritiek (CVSS 9,2), remote code execution |
| Patch | Verwacht 21 okt, 16:00 Nederlandse tijd |
| ON2IT | Niet kwetsbaar |
In PHP zelf zijn twee zeer kritieke kwetsbaarheden gevonden: CVE-2026-109618 en CVE-2026-109619, bijgenaamd php2shell. Beide hebben een CVSS v4.0-score van 9,2 en maken remote code execution op kwetsbare servers mogelijk. De details lekten uit voordat er een fix was. Het PHP-securityteam heeft een security release aangekondigd voor 21 oktober 2026 om 14:00 UTC (16:00 Nederlandse tijd).
Wie loopt risico
Elk systeem dat PHP draait, en PHP draait onder een groot deel van het internet. Niet alleen websites en webapplicaties, maar ook hostingplatforms, appliances en software van derden met ingebouwde PHP, vaak zonder dat het zichtbaar is. Welke versies getroffen zijn, is nog niet bevestigd. End-of-life PHP-versies krijgen mogelijk helemaal geen fix.
Wat je moet doen
- Breng elk systeem met PHP in kaart, ook de minder voor de hand liggende.
- Patch zodra de gepatchte versies er zijn, te beginnen bij systemen die aan internet hangen.
- Haal systemen die je niet kunt patchen offline, of beperk de toegang ertoe.
Volg de officiële richtlijnen van het NCSC en gebruik hun beveiligingsadviezen als bron. Voor de getroffen versies en de fix zelf: zie php.net.
Status ON2IT
- Onze producten zijn niet kwetsbaar. Onze websites on2it.net en on2it.nl gebruiken ook geen PHP.
- Uit voorzorg hebben we een aantal systemen tijdelijk offline gehaald tot er een patch beschikbaar is.
- Onze klanten zijn geïnformeerd. Hulp nodig? Bel ons 24/7 GSOC: +31 (88) 22-66-201.
Er wordt op 21 oktober 2026 om 16:00 Nederlandse tijd een patch verwacht.
We werken deze pagina bij zodra er nieuwe informatie is. Laatst bijgewerkt: 21 oktober 2026.