PHP kritieke beveiligingsrelease: 2 CVSS 9.2-fouten

Wat is de kritieke PHP-beveiligingsrelease?

Het PHP-beveiligingsteam heeft een dringende vooraankondiging gedaan van een kritieke PHP-beveiligingsrelease op woensdag 21 oktober 2026 om 14:00 UTC. De release verhelpt twee kritieke kwetsbaarheden, beide met CVSS v4.0-score 9.2, in de meest gebruikte server-side scripttaal ter wereld. Organisaties die PHP in productie draaien, wordt aangeraden zich nu voor te bereiden en direct te upgraden zodra de patches beschikbaar zijn.

Op 20 oktober 2026 publiceerde het PHP-beveiligingsteam een korte waarschuwing op PHP.net en het PHP Foundation Discourse. Anders dan bij reguliere bugfix-releases richt deze update zich op twee afzonderlijke kwetsbaarheden, elk met een CVSS v4.0-score van 9.2, wat ze in de categorie Kritiek plaatst. De PHP 8.6-releasecyclus doorloopt release candidates, maar deze beveiligingspatch staat los van de normale featureplanning.

Waarom een CVSS 9.2-rating belangrijk is

CVSS v4.0-scores lopen van 0 tot 10; 9.0 of hoger geldt als Kritiek. Een score van 9.2 wijst op kwetsbaarheden die op afstand misbruikbaar zijn, een lage aanvalscomplexiteit hebben en ernstige gevolgen kunnen hebben, zoals remote code execution, omzeiling van authenticatie of datalekken. Het PHP-team heeft nog geen technische details, getroffen versies of CVE-identificaties bekendgemaakt, maar alleen al de ernst rechtvaardigt onmiddellijke voorbereiding.

Wat we tot nu toe weten

• Releasedatum: woensdag 21 oktober 2026 om 14:00 UTC
• Aantal kwetsbaarheden: twee
• Ernst: beide CVSS v4.0 9.2 (Kritiek)
• Getroffen versies: nog niet bevestigd; PHP 8.1 en eerder zijn end-of-life en niet ondersteund
• Gepatchte versies: worden bij de release gepubliceerd

Hoe u zich kunt voorbereiden

Omdat het PHP-beveiligingsteam zich het recht voorbehoudt eerder uit te brengen als details uitlekken of actieve exploitatie opduikt, moet de voorbereiding nu beginnen. Volg deze stappen om risico's te beperken:

1. Inventariseer PHP-installaties op alle servers, containers en cloudomgevingen.
2. Identificeer internetgerichte hosts met PHP, vooral op niet-ondersteunde versies.
3. Test upgradepaden in stagingomgevingen met de nieuwste ondersteunde PHP 8.2, 8.3, 8.4 of 8.5.
4. Volg officiële kanalen zoals PHP.net en het PHP Foundation Discourse voor het advies.
5. Bereid een rollbackplan voor voor het geval de patch compatibiliteitsproblemen veroorzaakt.

Welke PHP-versies zijn getroffen?

Hoewel het PHP-beveiligingsteam nog geen getroffen versies noemt, dekken beveiligingsreleases doorgaans alle actief ondersteunde branches. PHP 8.2, 8.3, 8.4 en 8.5 worden momenteel ondersteund; PHP 8.1 en eerder krijgen geen beveiligingsfixes meer. Organisaties die nog legacy PHP-versies draaien, moeten dit zien als waarschuwing om te migreren naar een ondersteunde release.

Wat dit betekent voor PHP-gebruikers

Deze kritieke PHP-beveiligingsrelease benadrukt hoe belangrijk tijdig patchen is voor een fundamentele webtechnologie. PHP draait naar schatting op 75% van de websites met een server-side taal; een kritieke kwetsbaarheid kan dus brede impact hebben. Het proces voor PHP-beveiligingspatchbeheer is eenvoudig, maar vereist proactieve afstemming tussen development en operations.

Beveiligingsonderzoeker en Qualys-threatanalist merkte in een vroege beoordeling op: Organisaties moeten zich voorbereiden op versnelde patching en de officiële aankondigingen van PHP volgen. Het PHP-beveiligingsteam voegde toe: We behouden ons het recht voor eerder uit te brengen als details van een van beide kwetsbaarheden openbaar worden, of als er bewijs van actieve exploitatie in het wild opduikt.

Veelgestelde vragen

Wanneer verschijnt de kritieke PHP-beveiligingsrelease?

De release staat gepland voor woensdag 21 oktober 2026 om 14:00 UTC, maar kan eerder verschijnen als details uitlekken of actieve exploitatie wordt ontdekt.

Wat is de CVSS-score van de PHP-kwetsbaarheden?

Beide kwetsbaarheden hebben CVSS v4.0 9.2, geclassificeerd als Kritiek.

Welke PHP-versies moeten worden bijgewerkt?

Het officiële advies vermeldt getroffen en gepatchte versies. Gebruikers van PHP 8.2, 8.3, 8.4 en 8.5 moeten klaar zijn om te upgraden; PHP 8.1 en eerder zijn niet ondersteund en moeten direct worden gemigreerd.

Wat als ik niet direct kan upgraden?

Beperk dan tijdelijk de toegang tot PHP-applicaties, gebruik een webapplication firewall en monitor op indicaties van compromittering tot de patch kan worden toegepast.