!!! Tweakers main website is vulnerable voor kritieke CVE

[Dalitso]

Crosspost voor visibility.

PHP is vannacht getroffen door een zeer ernstige vulnerability op alles versies, bijna zonder eisen. Advies van EU CERT is om alle PHP applicaties zoals Wordpress offline te halen: https://cert.europa.eu/pu...rity-advisories/2026-018/ . Er gaat ook een php.ini mitigation rond (session.upload_progress.enabled = Off), maar core dev geeft aan dat dat waarschijnlijk niet genoeg is.

Ik weet het niet 100% zeker, maar ik dacht dat Tweakers.net ook een PHP site is.

PoC gaat inmiddels rond: https://jackalsyn.com/posts/php-up-2026.html

[Djordjo]

Dalitso schreef op woensdag 21 oktober 2026 @ 07:29:
Advies van EU CERT is om alle PHP applicaties zoals Wordpress offline te halen

Onzin, ze adviseren om direct te patchen:

CERT-EU advises organisations to prepare for immediate patching of affected assets.

Pas als dat niet lukt de boel offline halen.

[Dalitso]

Er is nog geen patch. Dat is een beetje het punt.

Het CERT-EU rapport is inmiddels ook best verouderd. Toen het geschreven was, was er alleen nog een vage referentie naar de vulnerability. Een nacht later is een PoC die gewoon goed werkt. Als Tweakers.net inderdaad PHP is (ik ben het verder niet nagegaan), dan zou ik de site nu kunnen defacen.

[rens-br]

Dank voor de melding. Een topic rondom dit onderwerp is voldoende, !!! Tweakers main website is vulnerable voor kritieke CVE Dus ik ga dit topic sluiten.