Het PHP-project heeft op woensdag 21 oktober 2026 om 14:00 UTC de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 van zijn programmeertaal uitgebracht. Deze verhelpen twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, met een score van 9,2 op de CVSS v4.0-schaal, die een externe code-uitvoering zonder authenticatie kunnen mogelijk maken. Een CVE-identificatie duidt een geregistreerde beveiligingslek aan, en de CVSS-score meet de ernst ervan.
Volgens de uitgever zijn alle installaties die webverzoeken bedienen, getroffen onder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP of LiteSpeed, waarbij het risico het hoogst wordt geacht met mod_php. Diezelfde dag heeft het CERT-FR zijn waarschuwing CERTFR-2026-ALE-014 bijgewerkt, en het ministerie van Binnenlandse Zaken heeft zijn blootgestelde sites, prefecturen inbegrepen, gesloten. De door de PHP Foundation gepubliceerde tijdlijn geeft aan dat het defect dat aan de basis lag van het eerste lek sinds 2024 bekend was, zonder een bekend exploitatievector.
Een defect gesignaleerd tijdens de audit van 2024
In 2024 ondergaat PHP zijn eerste externe beveiligingsaudit in jaren. Gefinancierd door het Duitse Sovereign Tech Agency, georganiseerd door OSTIF en uitgevoerd door het Franse bedrijf Quarkslab, leidt deze audit ertoe dat een ontwikkelaar van de PHP-kern, bij het oplossen van een van de gerapporteerde problemen, de eerste tekenen van een defect ontdekt dat verband houdt met out-of-memory-fouten. Een exploitatie wordt dan theoretisch beschouwd, zonder concrete vector.
De oplossing stuit vervolgens op afwegingen. Elke overwogen aanpak brak de compatibiliteit, opende een risico op denial-of-service of vereiste wijzigingen aan veel externe extensies, die niet te coördineren waren. Het beveiligingsteam, dat bij consensus besluit, heeft gezien dat het werk « herhaaldelijk maandenlang vastliep en opnieuw startte ». De stichting schrijft dat « de vertraging een structureel falen was », veroorzaakt door deze besluitvormingswijze en een gebrek aan middelen.
Calif, OpenAI en Wiz: een zomer van demonstraties
In het kader van het programma Patch the Planet begint het bedrijf Calif op 30 juli 2026 met een audit van PHP. Op 11 augustus meldt onderzoeker Ryan A. een onvoorwaardelijke externe code-uitvoering, met dezelfde hoofdoorzaak als het defect uit 2024. OpenAI, wiens Codex Security-team door de stichting wordt genoemd, rapporteert dezelfde oorzaak op dezelfde dag. Wiz Research volgt op 24 augustus met andere aanvalsvectoren. Vanaf 11 augustus, schrijft de stichting, wordt de oplossing de prioriteit van het hele beveiligingsteam.
Wiz geeft aan zijn tool Wiz Atlas, Google’s Gemini 4 Argon en OpenAI’s GPT-5.6 Sol te hebben gebruikt. Zijn tijdlijn plaatst de ontdekking van het eerste lek op 19 augustus, de bevestigde code-uitvoering op 20 augustus op Drupal en op 21 augustus op WordPress, en de melding aan PHP op 24 augustus. Volgens het bedrijf heeft één enkele onderzoeker, met deze modellen, in een week voltooid wat een topteam maanden zou hebben gekost. De stichting noteert verder 15 gepubliceerde CVE’s sinds 1 juli en meer dan 100 meldingen die zijn afgewezen omdat ze ongeldig, duplicaat of niet reproduceerbaar waren.
De release was gepland voor 22 oktober. Op 20 oktober rond 15:00 UTC begonnen de twee CVE-identificaties te circuleren op forums en sociale media, met een foutieve releasetijd en een valse CVSS-score van 10. Volgens de stichting zijn er geen technische details uitgelekt. PHP heeft zijn vooraankondiging en release vervroegd naar 21 oktober. Chainguard heeft op 21 oktober om 7:41 UTC images gepubliceerd met de patch, meer dan zes uur voor de release, wat de stichting een eenzijdige schending van het embargo noemt.
Isoleren en dan migreren, de richtlijn van het CERT-FR
Het CERT-FR vermeldt als getroffen alle versies 5.x, 6.x, 7.x, 8.0.x en 8.1.x, evenals de branches 8.2 tot 8.5 die ouder zijn dan de gecorrigeerde versies. Voor de branches die de uitgever niet langer onderhoudt, raadt het aan de apparaten eerst te isoleren en vervolgens te migreren naar een onderhouden versie. Tijdelijke workarounds, in de PHP-configuratie of op een applicatiefirewall, worden niet gekwalificeerd door het CERT-FR. Volgens de Anssi gebruiken meer dan 600.000 servers PHP op het Franse internet. Het ministerie van Binnenlandse Zaken heeft zijn blootgestelde sites preventief in onderhoudsmodus gezet, volgens een door AFP gemelde verklaring. Op 22 oktober om 8:33 uur Parijse tijd toonden de site van de CNIL en impots.gouv.fr een onderhoudspagina, net als die van de prefectuur van Seine-Saint-Denis. Geen van deze pagina’s vermeldt PHP.
Cloudflare zegt aanvalverkeer te hebben waargenomen gericht op zijn klanten, en dat aanvallers hun verzoeken wijzigden om zijn filterregels te omzeilen. Volgens de stichting was er op het moment van publicatie nog geen werkende exploit geïdentificeerd. Op het aangegeven tijdstip meldt geen van de aangehaalde bronnen een succesvolle inbraak.
De onderhouden versies hebben hun patch ontvangen op de dag van de openbaarmaking. Het grootste risico betreft servers die nog op PHP 8.1 of ouder draaien, die het project niet meer bijwerkt. Voor PHP 7.4, 8.0 en 8.1 heeft het beveiligingsteam minimale backports geleverd, bedoeld voor wie vanuit de broncode compileert. De PHP Foundation vraagt bedrijven, hostingproviders en overheden die op PHP vertrouwen om haar te financieren, omdat de beveiliging van de engine nog steeds afhangt van, zoals ze schrijft, « een kleine groep ontwikkelaars die door de stichting worden gefinancierd en een beetje vrijwillige hulp ».
