Kritieke PHP-lekken maken servers kwetsbaar voor overname op afstand

In PHP, de programmeertaal die aan de basis ligt van talloze websites en webapplicaties, zijn twee kritieke kwetsbaarheden ontdekt: CVE-2026-109618 en CVE-2026-109619. Volgens het NCSC zijn deze lekken vermoedelijk aanwezig in alle huidige versies van PHP, maar in ieder geval vanaf versie 5. Via deze kwetsbaarheden kunnen kwaadwillenden op afstand zogenoemde remote code execution (RCE) uitvoeren — waarmee zij in potentie volledige controle over webservers kunnen verkrijgen. Gevolgen kunnen zijn: onbereikbare websites, datalekkage en het uitvallen van functionaliteiten zoals inlogmogelijkheden. Er is inmiddels een publieke Proof of Concept beschikbaar, wat het risico op actief misbruik vergroot.

De ernst van de situatie bleek ook uit de reactie van overheidsorganisaties: het NCSC haalde zijn eigen website tijdelijk offline, en meerdere andere instanties schakelden hun websites preventief uit. Inmiddels zijn beveiligingsupdates beschikbaar gesteld waarmee de kwetsbaarheden kunnen worden verholpen.

Voor IT-beheerders en de huisvestings- en vastgoedprofessionals die verantwoordelijk zijn voor de continuïteit van digitale werkplekinfrastructuur, is dit een signaal om direct te escaleren naar de juiste technische partijen. Organisaties die gebruikmaken van PHP-gebaseerde systemen — zoals intranetportalen, reserveringssystemen of facilitaire serviceportals — dienen te verifiëren welke versies in gebruik zijn en de beschikbare patches zonder uitstel te laten installeren.