Ernstige kwetsbaarheid in PHP (CVE-2026-109618 & CVE-2026-109619)

Als vervolg op onze eerdere communicatie over de kritieke kwetsbaarheden in PHP informeren wij u graag over de actuele situatie.

Inmiddels zijn de beveiligingsupdates voor PHP beschikbaar. De kwetsbaarheden zijn ernstig en kunnen misbruikt worden om zonder authenticatie code uit te voeren op kwetsbare systemen. Inmiddels circuleren er ook technische details en zogenaamde proof-of-concept voorbeelden. Het NCSC en CERT-EU adviseert daarom om kwetsbare systemen direct bij te werken.

Wat doet Arrows?

Als jullie systeembeheerder nemen wij de volgende maatregelen:

• We hebben de door ons beheerde omgevingen zo goed mogelijk op het gebruik van kwetsbare PHP-versies gecontroleerd.
• We geven leverancier direct toegang om (waar nodig) updates te installeren.
• Wanneer niet direct geupdate kan worden en wij het risico te groot achten, stemmen we met jullie af of een systeem tijdelijk afgeschermd of offline gehaald moet worden.

De veilige PHP-versies zijn momenteel 8.5.12, 8.4.27, 8.3.36 en 8.2.35. PHP 8.1 en oudere versies zijn end-of-life en ontvangen vanuit het PHP-project geen reguliere beveiligingsupdates meer.

Websites en web-applicaties verdienen extra aandacht.

PHP is geen losstaand programma dat alleen op servers voorkomt. Het is een programmeertaal die wordt gebruikt als technische basis voor veel websites, webshops, portals en bedrijfsapplicaties. Daardoor kunnen ook producten waarbij je zelf niet direct ziet dat PHP wordt gebruikt, geraakt worden. Het simpelweg wijzigen van de PHP-versie is bovendien niet in alle gevallen verstandig. Een website of applicatie moet geschikt zijn voor de nieuwe PHP-versie. Hiervoor kunnen aanvullende updates van de softwarefabrikant, websitebouwer, hostingpartij of applicatieleverancier noodzakelijk zijn.

Wij adviseren dan ook contact op te nemen met de website bouwer en applicatie leveranciers en te laten bevestigen dat:

• gecontroleerd is of PHP wordt gebruikt;
• de gebruikte PHP-versie veilig is bijgewerkt;
• de website of applicatie compatibel is met deze update.

Wanneer wij binnen een door ons beheerde omgeving een mogelijk kwetsbare applicatie aantreffen, zijn we van de externe softwareleverancier afhankelijk om updates aan de applicatie beschikbaar te stellen en/of door te voeren.

Jullie kunnen erop rekenen dat Arrows de ontwikkelingen actief blijft volgen en waar nodig actie onderneemt binnen de omgevingen die wij beheren.

Met vriendelijke groet,

Arrows ICT Solutions | SOC

Mogelijk heeft u al berichten gezien over een recent ontdekte ernstige kwetsbaarheid in PHP.

PHP is een veelgebruikte programmeertaal die onderdeel is van veel websites en software. Er zijn twee kritieke kwetsbaarheden aangekondigd met een CVSS-score van 9,2.

We willen u vooral meegeven dat Arrows de situatie actief monitort.

Wat gaat Arrows nu doen?

• We brengen momenteel klant systemen in kaart die PHP gebruiken en in ons beheer zijn (OnPremise Servers).
• We beoordelen welke van deze systemen daadwerkelijk risico lopen.
• We zijn beschikbaar voor leveranciers die updates moeten doorvoeren.
• Is een systeem mogelijk kwetsbaar terwijl er nog geen veilige oplossing / update beschikbaar is, dan kunnen we in overleg besluiten het systeem tijdelijk offline te halen of extern af te schermen (isoleren).

Wat moeten wij als klant nu doen?

• Neem z.s.m. contact op met de leveranciers die jullie websites, webshops, online web portalen en/of online applicaties beheren en vraag of PHP wordt gebruikt, of deze omgeving geraakt wordt en welke maatregelen zij nemen. Overweeg bij publiek beschikbare diensten en websites om deze uit voorzorg tijdelijk uit te schakelen of van het internet af te schermen (isoleren) totdat benodigde updates zijn toegepast. Dit is op dit moment ook het advies van Nationaal Cyber Security Centrum (NCSC).

Zodra er meer informatie beschikbaar is zullen wij updates posten op onze statuspagina: https://status.arrowsict.nl

Onze eigen website (arrowsict.nl) is op dit moment uit veiligheidsoverwegingen ook offline gehaald.

Met vriendelijke groet,
Arrows ICT Solutions | SOC