De actuele stand: er zijn patches beschikbaar
Gecontroleerd op 22 oktober 2026: PHP heeft op 21 oktober updates uitgebracht voor twee kritieke kwetsbaarheden waarmee op afstand code kan worden uitgevoerd. Heb je een hostingbericht ontvangen waarin staat dat er nog geen patch is? Dat deel is inmiddels achterhaald. Controleer eerst of het PHP-pakket waarop je website draait beide oplossingen bevat.
RCE betekent dat een aanvaller mogelijk op afstand code op de server kan uitvoeren. Behandel dit als dringend onderhoud. Een waarschuwing voor een kwetsbaarheid bewijst op zichzelf niet dat jouw website is gehackt.
Welke PHP-versies bevatten de oplossingen?
De tabel toont de eerste officiële PHP-releases met beide oplossingen. Installeer de passende versie of een nieuwere ondersteunde beveiligingsrelease en controleer de compatibiliteit met je applicatie.
Linux-leveranciers kunnen patches terugplaatsen in een oudere basisversie. Ubuntu noemt bijvoorbeeld 8.3.6-0ubuntu0.24.04.13 voor Ubuntu 24.04. Vergelijk daarom de volledige pakketversie met de melding van je leverancier. Alleen het korte PHP-versienummer geeft geen uitsluitsel.
| PHP-reeks | Gepatchte PHP-release |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Waar zitten de twee kwetsbaarheden?
CVE-2026-109618 gaat over geheugenbeschadiging bij het afhandelen van geheugentekort. CVE-2026-109619 betreft verouderde interne toestand die tussen verzoeken wordt hergebruikt. Onder de voorwaarden uit de officiële meldingen kunnen beide leiden tot uitvoering van code op afstand zonder inloggen.
PHP roept alle installaties die webverzoeken verwerken op om te updaten, waaronder Apache mod_php en PHP-FPM. De precieze aanvalsvoorwaarden hangen af van de runtime, applicatie en configuratie. De meldingen bewijzen niet dat alle PHP-servers al zijn gehackt.
Is uploadvoortgang uitschakelen voldoende?
Nee. De instelling session.upload_progress.enabled = Off blokkeert alleen bevestigde sessiegerelateerde aanvalspaden voor CVE-2026-109619. Het verhelpt niet alle varianten of CVE-2026-109618. Een gepatcht PHP-pakket blijft nodig.
Past je beheerder deze tijdelijke maatregel toe, dan moet de instelling vóór het verwerken van het verzoek actief zijn via php.ini, een FPM-pool of de serverconfiguratie. Daarna moeten alle workerprocessen opnieuw starten. PHP waarschuwt uitdrukkelijk dat ini_set() en FPM .user.ini hiervoor niet volstaan. Spreek ook af wie de echte update uitvoert en wanneer.
Hoe zit het met WordPress en oudere PHP-versies?
Dit probleem zit in PHP zelf, niet in een WordPress-plugin. Updates van WordPress, thema’s of plugins vervangen de PHP-patch niet. WordPress adviseert in zijn eigen melding om de hostingprovider te raadplegen. Via Sitediagnose, Informatie en Server kun je de PHP-versie van de website opzoeken.
PHP 8.1 en ouder vallen buiten de normale ondersteuning van het PHP-project. Een leverancier kan nog patches leveren, maar controleer die dekking. De beveiligingsondersteuning voor PHP 8.2 eindigt op 31 december 2026. Neem daarom ook een upgrade voor de langere termijn op in je onderhoudsplan.
Een praktische checklist voor je website
Loop deze lijst door met degene die je hosting beheert. Leg het resultaat vast per website, subdomein en afzonderlijke applicatie. Eén gewijzigde instelling in het controlepaneel is nog geen afgeronde controle.
Een bericht voor je hostingprovider
Hallo, kunnen jullie bevestigen dat de PHP-runtime waarop onze website draait de oplossingen voor CVE-2026-109618 en CVE-2026-109619 bevat? Graag ontvangen we de volledige pakketversie, de bijbehorende beveiligingsmelding en het tijdstip waarop de update is uitgevoerd. Zijn alle betrokken workers opnieuw gestart en verwerken oude pools of containers nog verzoeken? Als alleen een tijdelijke instelling is aangepast, wanneer volgt dan het gepatchte pakket?
Bewaar het antwoord bij je onderhoudsgegevens. Staat er alleen dat uploadvoortgang is uitgeschakeld, vraag dan ook om bevestiging van de pakketupdate.
Maak de update onderdeel van vast onderhoud
Spreek voor toekomstige meldingen af wie beveiligingsnieuws volgt, wie productie mag bijwerken en wie het resultaat controleert. Met een vaste verantwoordelijke en een korte, herhaalbare checklist kun je urgente updates sneller afronden.
Wil je hulp bij het controleren van je PHP-omgeving, een compatibele upgrade of applicatiebeveiliging? Deel je situatie met Pixel Shield. Samen bepalen we eerst de omvang van het werk en hoe we het resultaat kunnen verifiëren.
Veelgestelde vragen
Moet ik wachten op een PHP-patch?
Nee. De updates zijn uitgebracht op 21 oktober 2026. Controleer de genoemde releases of de pakketmelding van je leverancier en plan de update zo snel mogelijk.
Beschermt het uitschakelen van uploadvoortgang mijn site volledig?
Nee. Het is een beperkte tijdelijke maatregel voor specifieke sessiegerelateerde aanvalspaden. De patches voor beide kwetsbaarheden blijven nodig.
Lost een WordPress-update dit op?
De kwetsbaarheden zitten in PHP. Blijf WordPress onderhouden, maar laat je host bevestigen dat ook de PHP-runtime is gepatcht.
Betekent een waarschuwing dat mijn website is gehackt?
Nee. Een kwetsbaarheid vormt een risico; voor een inbraak is afzonderlijk bewijs nodig. Bewaar logs en laat verdachte wijzigingen of activiteit onderzoeken.
