Ernstige PHP-lekken: voorzorgsmaatregelen actief
Wat is er aan de hand?
Er zijn twee ernstige beveiligingslekken ontdekt in PHP, een programmeertaal die veel wordt gebruikt voor websites, webapplicaties en beheersystemen.
De kwetsbaarheden zijn bekend als CVE-2026-109618 en CVE-2026-109619 en zijn door het PHP Security Team als kritiek aangemerkt met een CVSS-score van 9,2. Op basis van de momenteel beschikbare informatie kunnen de kwetsbaarheden mogelijk worden misbruikt om op afstand code uit te voeren op een kwetsbare server.
Informatie over de kwetsbaarheden is voortijdig openbaar geworden, voordat de geplande beveiligingsupdates beschikbaar waren. Onderzoekers hebben inmiddels bevestigd dat de kwetsbaarheden daadwerkelijk bestaan.
Vanwege de ernst van de kwetsbaarheden hebben wij besloten niet te wachten op de beveiligingsupdates, maar direct voorzorgsmaatregelen te nemen.
Welke maatregelen heeft STH genomen?
Om het risico op misbruik zoveel mogelijk te beperken, hebben wij de websites en webapplicaties op onze hostingservers uit voorzorg tijdelijk afgesloten van het internet.
Dit betekent dat websites die op de betreffende systemen worden gehost momenteel niet bereikbaar zijn voor bezoekers.
We begrijpen dat het tijdelijk niet beschikbaar zijn van websites hinderlijk is. Gezien de mogelijke impact van deze kwetsbaarheden vinden wij het echter niet verantwoord om betrokken systemen volledig publiek bereikbaar te laten totdat wij de beschikbare beveiligingsupdates hebben kunnen beoordelen en installeren.
Deze aanpak sluit aan bij het advies van CERT-EU om internetgerichte PHP-systemen waar nodig tijdelijk te isoleren totdat een beveiligingsupdate kan worden toegepast.
Zijn de kwetsbaarheden al misbruikt?
De situatie ontwikkelt zich momenteel snel. Er is inmiddels publieke informatie over de kwetsbaarheden beschikbaar en beveiligingsonderzoekers hebben de werking van ten minste één van de kwetsbaarheden kunnen reproduceren.
Het tijdelijk offline halen van websites betekent niet dat wij hebben vastgesteld dat deze websites zijn gecompromitteerd. Het betreft een preventieve maatregel om het risico op misbruik zo klein mogelijk te maken.
Wanneer zijn de websites weer bereikbaar?
Het PHP Security Team heeft aangekondigd op 21 oktober 2026 om 14:00 UTC (16:00 Nederlandse tijd) met een bericht te komen. Het is op dit moment nog niet bekend wanneer de eerste patches beschikbaar zullen zijn.
Zodra de beveiligingsupdates beschikbaar zijn, zullen wij:
- beoordelen welke PHP-versies en systemen precies getroffen zijn;
- de beschikbare beveiligingsupdates controleren;
- de updates op onze hostingomgevingen installeren;
- controleren of de systemen correct functioneren;
- aanvullende controles uitvoeren voordat de publieke bereikbaarheid wordt hersteld.
Wij willen de websites zo snel mogelijk weer beschikbaar maken, maar veiligheid gaat hierbij voor snelheid. Daarom kunnen wij op dit moment nog geen exact tijdstip noemen waarop alle websites weer bereikbaar zijn.
Moet ik zelf iets doen?
Op dit moment hoef je als klant geen actie te ondernemen.
Onze technische beheerders volgen de ontwikkelingen en voeren de benodigde maatregelen en beveiligingsupdates op de hostingservers uit.
Zodra er nieuwe relevante informatie beschikbaar is of wanneer wij de bereikbaarheid kunnen herstellen, plaatsen wij een update op deze statuspagina.