Een PHP-update die past bij jouw omgeving
Bij spoed wil je weten wie de update kan uitvoeren en wat er gecontroleerd wordt. We beginnen met de actieve PHP-versie achter je website, de gebruikte extensies en het beheer van de server. De versie in een terminal kan verschillen van de versie die webverzoeken verwerkt. Bij beheerde hosting stemmen we met jou en de provider af welke correctie beschikbaar is en wie deze mag installeren.
Wat we met je afspreken
We bepalen eerst de scope, toegang, mogelijke onderbreking en het herstelpad. De werkzaamheden en controles spreken we af voordat we wijzigingen uitvoeren.
- Inventariseren: PHP-runtime, hosting, applicatie, extensies en de verantwoordelijke beheerder of provider vaststellen.
- Herstel voorbereiden: de relevante back-up en het herstelpad controleren voordat de update begint.
- Passende patch toepassen: de gecorrigeerde release binnen jouw PHP-tak of een leverancierspakket met bevestigde backport kiezen; compatibiliteit en pakketbron controleren.
- Actieve runtime controleren: de benodigde services of workers herstarten en vaststellen dat webverkeer de bijgewerkte runtime gebruikt.
- Afgesproken functies testen: bijvoorbeeld inloggen, formulieren, afrekenen en koppelingen; de uitgevoerde checks en resterende aandachtspunten terugkoppelen.
Waarom nu handelen?
PHP meldde op 21 oktober 2026 twee kritieke kwetsbaarheden die uitvoering van code op afstand zonder inloggen mogelijk kunnen maken. De correcties zitten in PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. De PHP-aankondiging noemt installaties die webverkeer verwerken en adviseert direct bijwerken. Welke correctie jouw omgeving nodig heeft, controleren we met de beheerder of provider.
Alleen WordPress bijwerken is niet genoeg
WordPress, plug-ins en de PHP-runtime hebben elk hun eigen updates. Een bijgewerkte plug-in bewijst niet dat de server de PHP-correctie gebruikt. Een leverancier kan de beveiligingsfix ook terugzetten naar een eigen pakketversie: vraag dan om bevestiging dat beide advisories zijn afgedekt. Tijdelijke configuratiemaatregelen vervangen de patch niet.
Vermoed je dat er al iets is gebeurd?
Meld verdachte logins, gewijzigde bestanden of andere signalen bij je eerste contact. Het installeren van een patch bewijst niet dat een omgeving vrij is van eerdere misbruiksporen. Incidentonderzoek is een afzonderlijke opdracht, met afspraken over bewijs, omvang en vervolgstappen.
Wat kun je nu alvast sturen?
Stuur het domein, de provider, wat je al weet over de PHP-versie en wat er moet blijven werken. Geef aan of jij of een andere beheerder de server beheert. We stemmen beschikbaarheid, werkzaamheden en controles met je af. Mail direct info@oxiae.com met onderwerp PHP-spoed. Vandaag en de hele nacht bereikbaar: 21 oktober en de nacht naar 22 oktober 2026.
CVE-2026-109618 — RCE via OOM corruption
Een fout bij geheugentekort kan interne verzoekgegevens onvolledig geïnitialiseerd achterlaten. Bij het opruimen kan PHP vervolgens ongeldige gegevens gebruiken. Uitvoering van code op afstand is aangetoond bij Apache mod_php, voordat applicatiecode draait. Zie de officiële advisory.
CVE-2026-109619 — RCE via stale global state
Een PHP-worker kan verwijzingen bewaren naar geheugen dat na een eerder verzoek is vrijgegeven. Een volgend verzoek kan die oude toestand gebruiken: een use-after-free. RCE via de sessielevenscyclus is gevalideerd bij mod_php en FPM; het FPM-pad vereist een geschikte applicatiebewerking.
PHP-FPM is dus niet automatisch buiten schot. De blootstelling verschilt per bug, applicatie, extensies en configuratie. Vraag je host om bevestiging van de fix voor beide CVE’s.
Welke PHP-versies moet je bijwerken?
| PHP-tak | Getroffen | Gepatcht |
|---|---|---|
| 8.2 | < 8.2.35 | 8.2.35 |
| 8.3 | < 8.3.36 | 8.3.36 |
| 8.4 | < 8.4.27 | 8.4.27 |
| 8.5 | < 8.5.12 | 8.5.12 |
Deze grenzen gelden binnen elke genoemde upstream PHP-tak. Leverancierspakketten kunnen een ander versienummer met bevestigde backports gebruiken. PHP 8.1 en ouder krijgen geen updates meer van het PHP-project: controleer leveranciersondersteuning en beide fixes, of plan een upgrade naar een ondersteunde tak.
Vragen over PHP-updates met spoed
Raakt dit ook WordPress?
WordPress draait op PHP. Vraag je host welke PHP-runtime jouw website verwerkt en of beide fixes actief zijn. Alleen WordPress of plug-ins bijwerken bewijst dat niet.
Kan mijn host een oudere pakketversie al hebben gepatcht?
Ja, een leverancier kan fixes terugzetten naar een eigen pakket. Vraag om het pakketkenmerk en bevestiging voor beide CVE’s; alleen het PHP-versienummer is dan onvoldoende.
Wat stuur ik om spoedhulp te vragen?
Mail je domeinnaam, hostingprovider, bekende PHP-versie en een korte omschrijving. Zet PHP-spoed in het onderwerp. Stuur geen wachtwoorden per e-mail; toegang stemmen we afzonderlijk af.