Op 21 oktober 2026 heeft het PHP-project beveiligingsupdates uitgebracht voor twee kritieke kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. CERT-EU waarschuwde er een dag eerder al voor. Beide krijgen een CVSS 4.0-score van 9,2 en kunnen volgens het PHP-project leiden tot code-uitvoering op afstand, zonder dat een aanvaller hoeft in te loggen.
Wat is er aan de hand?
Beide kwetsbaarheden draaien om geheugen dat tussen opeenvolgende verzoeken niet goed wordt opgeruimd. Bij de eerste blijft na een geheugentekort (out-of-memory) geheugen in een ongeïnitialiseerde toestand achter; bij de tweede verwijst interne, globale toestand nog naar geheugen dat al is vrijgegeven. Een volgend verzoek kan daar vervolgens mee werken. De aanval is niet triviaal (CVSS: hoge aanvalscomplexiteit en specifieke voorwaarden), maar het PHP-project is duidelijk: er zijn geen volledige mitigaties, updaten is de enige veilige keuze.
Opgeloste versies: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Waarom dit ook OT raakt
PHP is geen typisch OT-onderdeel, maar zit vaker in OT-omgevingen dan je zou denken:
- Webbeheerinterfaces van gateways, industriële routers en sommige besturingen en HMI-panelen.
- Ondersteunende systemen rond het proces, zoals rapportage- en monitoringtools op Windows- of Linux-servers in de OT-DMZ.
- Oudere firmware, die vaak een PHP-versie bevat die niet meer door het PHP-project wordt ondersteund. Voor die versies komt geen update van het PHP-project; alleen de leverancier van het apparaat kan dan een nieuwe firmware leveren.
Of een specifiek apparaat kwetsbaar is, hangt af van de PHP-versie en de manier waarop het product PHP gebruikt. Dat moet de leverancier vaststellen. Die advisories komen doorgaans pas dagen of weken later.
Wat kun je nu doen?
- Inventariseer welke systemen en apparaten in je omgeving PHP gebruiken, ook in webbeheerinterfaces. Een actuele assetinventaris helpt hierbij.
- Patch servers die je zelf beheert naar een van de bovengenoemde versies.
- Beperk de bereikbaarheid van webbeheerinterfaces tot een apart beheersegment, zeker als een update nog niet beschikbaar is. Een webinterface van OT-apparatuur hoort nooit direct vanaf internet bereikbaar te zijn.
- Volg de leveranciersadvisories. Zodra leveranciers melden welke producten geraakt zijn, verschijnen die in IACS Radar onder de betreffende leverancier en het product — volg ze via Mijn Radar.
De PHP-CVE's zelf staan niet in de kwetsbaarhedenlijst van IACS Radar, omdat PHP geen OT-leverancier is. De leveranciersmeldingen over getroffen OT-producten wél.
Bronnen: CERT-EU Security Advisory 2026-018, php.net en de NVD-records van CVE-2026-109618 en CVE-2026-109619.