De ontwikkelaars van programmeertaal PHP hebben vandaag om 16.00 uur beveiligingsupdates uitgebracht voor twee kritieke kwetsbaarheden in PHP die remote code execution (RCE) door ongeauthenticeerde aanvallers mogelijk maken. The PHP Foundation, cybersecuritybedrijven en overheden wereldwijd roepen beheerders en PHP-gebruikers op om de patches meteen te installeren, aangezien de komende dagen met grootschalige aanvallen rekening wordt gehouden.

Vanwege de bekendmaking van de beveiligingslekken besloot Security.NL woensdagochtend vroeg uit voorzorg de website offline te halen. Later op de dag volgden ook andere websites, waaronder die van DigiD, MijnOverheid, het Nationaal Cyber Security Centrum (NCSC), de Belastingdienst, de Tweede Kamer, de Autoriteit Persoonsgegevens, de Autoriteit Consument & Markt (ACM), de vacaturesite van het Ministerie van Defensie, verschillende gemeenten en andere overheidsinstanties, ziekenhuizen, politieke partijen en verschillende mediakanalen.

De twee kwetsbaarheden worden aangeduid als CVE-2026-109618 en CVE-2026-109619, maar staan ook bekend als 'PHP2Shell'. Het gaat om remote code execution via out-of-memory corruption en een 'stale global state' die kan leiden tot een use after free en zo remote code execution mogelijk maakt. Alle PHP-installaties die web requests doen, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed zijn kwetsbaar. Mod_php loopt volgens het PHP-ontwikkelteam het grootste risico, waarbij onderzoekers een exploit hebben getoond waarbij een ongeauthenticeerd request de aanval kan veroorzaken, nog voordat er applicatiecode draait. "Beide kwetsbaarheden kunnen zonder authenticatie via webverzoeken worden misbruikt en kunnen leiden tot het uitvoeren van willekeurige code op de getroffen server", zo meldt het NCSC.

Beveiligingsupdates
De kwetsbaarheden zijn verholpen in PHP-versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Het PHP-ontwikkelteam benadrukt dat PHP 8.1 en ouder niet langer beveiligingsupdates van het PHP project ontvangen. Vanwege de impact van de kwetsbaarheden heeft het PHP security team 'minimale source-backports' beschikbaar gesteld voor PHP 7.4, PHP 8.0 en PHP 8.1. Zo kunnen gebruikers op basis van de broncode een eigen update compileren. Tevens meldt PHP dat sommige Linux-distributies en LTS-leveranciers 'backported fixes' bieden. Daarnaast zijn verschillende maatregelen gepubliceerd die beheerders kunnen nemen om specifieke 'attack paths' te beperken. Het PHP security team merkt op dat deze maatregelen PHP-installaties niet veilig maken.

Oorspronkelijk was PHP van plan om donderdag met beveiligingsupdates te komen, zo meldt cybersecuritybedrijf watchTowr. Nadat er dinsdagavond op Hacker News informatie over de beveiligingslekken was gepubliceerd kwam PHP niet veel later met de aankondiging dat het woensdag om 16.00 uur patches voor de kritieke problemen zou publiceren. Dane Knecht, CTO van Cloudflare, meldde vanochtend rond 10.00 uur Nederlandse tijd dat de eerste aanvallen door het internetbedrijf waren waargenomen, maar gaf geen verdere details. Het NCSC heeft nog geen actief misbruik gesignaleerd. Ook het Amerikaanse cyberagentschap CISA zegt niet bekend te zijn met misbruik van het probleem.

Grote impact
Volgens W3Techs draait bijna zeventig procent van alle websites op PHP. Daarnaast wordt de programmeertaal ook voor allerlei andere toepassingen en systemen gebruikt, zoals contentmanagementsystemen WordPress, Drupal, Joomla en Magento. De online virusscandienst van Google, VirusTotal, meldt dat het 5,1 miljoen ip-adressen ziet die PHP draaien, waarvan zo'n 3,8 miljoen tenminste één open poort hebben. Slechts 1,1 miljoen van deze systemen meldt welke PHP-versie er draait. "Anders gezegd, vier op de vijf PHP-servers verbergt hun PHP-versie", aldus VirusTotal. Van de servers die hun PHP-versie bekendmaken draait een groot aantal een versie die end-of-life is en niet meer met patches wordt ondersteund.

Twee jaar geleden werd een ander PHP-lek (CVE-2024-4577) een dag na het uitkomen van de betreffende patches op grote schaal misbruikt bij aanvallen en ook nu wordt rekening gehouden met grootschalig misbruik. Het Europese computer emergency response team (CERT-EU) adviseert daarom om systemen die niet meteen kunnen worden gepatcht offline te halen totdat dit wel kan.

Het NCSC raadt aan om totdat de kwetsbaarheden verholpen zijn, een risisocafweging te maken per systeem dat PHP gebruikt en aan het internet hangt of aanvullende maatregelen noodzakelijk zijn, zoals het uitschakelen van het systeem. "Bij veel van deze producten zal de gebruiker afhankelijk zijn van de vendor om te updaten naar de nieuwste versie van PHP", zo laat de overheidsinstantie weten.

"De recente kwetsbaarheden in PHP, een veelgebruikte programmeertaal, onderstrepen het belang van het tijdig installeren van beveiligingsupdates en het snel treffen van passende maatregelen", aldus de Rijksinspectie Digitale Infrastructuur (RDI). De toezichthouder roept organisaties op om hun digitale weerbaarheid te versterken.