https://www.php.net/PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution. All PHP users are strongly encouraged to update immediately.
https://www.php.net/downloads.php
nieuws: PHP dicht twee kritieke lekken nadat wereldwijd websites offline werd...PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution. All PHP users are strongly encouraged to update immediately.
Who is at risk: all PHP installations serving web requests, including PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP and LiteSpeed. We consider the risk highest for mod_php, with a demonstrated exploit where an unauthenticated request can trigger the attack before any application code runs.
The vulnerabilities:
RCE via OOM corruption, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): out-of-memory handling can interrupt PHP while internal request data is only partially initialized. Request cleanup may then treat the invalid data as valid.
RCE via stale global state, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): request-owned internal state can survive after its backing memory has been freed. A later request handled by the same worker may use that stale state before normal initialization resets it.
How to update:
Update to PHP 8.5.12, 8.4.27, 8.3.36 or 8.2.35. Source downloads are on our downloads page. Windows source and binaries are on the same page.
Linux distributions and LTS vendors received the patches in advance, so check your vendor for updated packages.
PHP 8.1 and older no longer receive updates from the PHP project. Some distributions and LTS vendors provide backported fixes, so contact your vendor for details, or upgrade to a supported version.
If you rely on the volunteer-maintained rpms.remirepo.net, we urge you to switch to distribution packages or build from source, so you can immediately apply updates. The repo will not have updates today.
Given the severity of these vulnerabilities, the PHP security team provided minimal source-backports for PHP 7.4, PHP 8.0, and PHP 8.1 to help people building from source or without access to an LTS vendor.
If you cannot update immediately: while only an update is a complete solution, the following measures reduce exposure to specific attack paths but do not make an installation safe.
RCE via OOM corruption (CVE-2026-109618):
Set memory_limit=-1, preferably in a way applications can't override, such as php_admin_value in the FPM pool or Apache configuration, and check that no pool, directory or application setting puts a finite limit back. This removes the controllable PHP memory limit failure, but an underlying allocation failure can still reach the vulnerable path.
Set a low post_max_size. For applications that don't require file uploads, set post_max_size = 8M. If file uploads are necessary, set post_max_size = 32M. Keep upload_max_filesize below post_max_size. Consider enforcing limits at the web server or proxy level for decoded request size, input field count, multipart part count, header count, and nesting depth. These limits must also cover requests without a usable Content-Length.
Use a container or cgroup limit as an availability boundary, preferably with a policy that kills only the affected worker. Do not substitute RLIMIT_AS or RLIMIT_DATA, as these can cause the vulnerable allocation failure.
RCE via stale global state (CVE-2026-109619):
Set session.upload_progress.enabled=0 and restart every worker. Use php.ini, an FPM pool or server configuration that applies before request parsing. Do not rely on ini_set() or FPM .user.ini. This blocks the confirmed session paths but not other variants.
On PHP 8.5, set fatal_error_backtraces=0 and restart every worker. This blocks the confirmed fatal backtrace path only.
Remove invalid or deprecated settings applied per request that emit diagnostics before initialization. Hiding diagnostics with error_reporting, display_errors or @ does not help.
Fix attacker-reachable fatal errors and execution timeouts, including failures in callbacks, upload or import processing and cleanup.
The advisories linked above have the full technical details.
https://nos.nl/liveblog/2...g-op-zwart-na-softwarelekPHP dicht twee kritieke lekken nadat wereldwijd websites offline werden gehaald
PHP heeft een patch uitgebracht om twee kritieke kwetsbaarheden te dichten. De makers adviseren gebruikers om direct een update uit te voeren. Uit voorzorg en in afwachting van de patch waren vanmiddag wereldwijd veel websites offline gegaan, waaronder die van de Tweede Kamer, ziekenhuizen, Schiphol en Tweakers.
Wat is PHP?
PHP is een veelzijdige scriptingtaal die dynamische webpagina's kan aanmaken. Wereldwijd gebruikt 69,3 procent van alle websites PHP. PHP vormt de basis voor het veelgebruikte WordPress en zit ook in Joomla, Drupal, Magento en andere websoftware.
PHP heeft de patch uitgebracht voor PHP-versies 8.2 tot en met 8.4. De kwetsbaarheid zit in alle PHP-versies vanaf 5.4, die in 2012 uitkwam. Momenteel ondersteunt PHP alleen actief versie 8.2 en hoger. Websites die oudere versies van PHP gebruiken, kunnen gedwongen worden om te upgraden naar een nieuwere versie, wat technisch complex kan zijn.
Bepaalde functies van oudere PHP-versies hebben compatibiliteitsproblemen met nieuwe versies van de programmeertaal. Webontwikkelaars hebben al eerder gezegd dat upgraden een lastig proces kan zijn. Daardoor kunnen websites die een oudere PHP-versie gebruiken na de uitgave van de patch toch langer uit de lucht blijven. Zeker een kwart van alle websites die PHP gebruiken heeft een oudere versie van de programmeertaal.
Tweakers publiceerde een uitgebreid achtergrondverhaal over de kwetsbaarheden en de gevolgen.
Gevolgen nog onbekend
De Amerikaanse PHP Foundation zegt tegen het persbureau ANP dat er 'geen signalen' zijn dat de kwetsbaarheid momenteel door kwaadwillenden wordt misbruikt, aldus de NOS. Cloudflare spreekt dat echter tegen en heeft de eerste cyberaanvallen via PHP-meldingen al gemeld in een bericht op X. Of die aanvallen ook succesvol zijn, is niet bekend. Tweakers ziet ook in zijn logs dat er in de loop van de middag meer dan honderd keer op de kwetsbaarheid werd gescand.
PHP scoort de ernst van de kwetsbaarheid met een 9,2 op een schaal van een tot tien. Dat hoge cijfer is gebaseerd op de ernst van de kwetsbaarheid en hoe makkelijk die te misbruiken is.
Impact voelbaar
69,3 procent van alle websites wereldwijd gebruikt PHP als programmeertaal, dus websites namen massaal voorzorgsmaatregelen. Daardoor waren de gevolgen onmiddellijk voelbaar. Naar verwachting worden die voorzorgsmaatregelen snel opgeheven, maar veel diensten zijn op het moment van schrijven nog onbereikbaar.
Zo zijn verificatiediensten zoals DigiD niet bruikbaar. Ook websites van ziekenhuizen zoals het Jeroen Bosch Ziekenhuis zijn niet toegankelijk. Daardoor zijn online patiëntendossiers niet in te zien. Verder werd de Schiphol-app offline gehaald, waardoor reizigers geen actuele vluchtgegevens konden zien. Verschillende overheidswebsites van de provincies zijn ook niet bereikbaar. Daardoor kunnen burgers bijvoorbeeld commissievergaderingen niet volgen. Nationale nieuwswebsites zoals RTL Nieuws en Tweakers waren tijdelijk offline.
Beveiligingsupdate PHP staat online
15:43
Deel deze update
De update van programmeertaal PHP is beschikbaar. Dat is iets eerder dan verwacht. De organisatie achter PHP had het eerder over 16.00 uur.
Een programmeertaal is een taal waarmee je een computer vertelt wat hij moet doen. Net zoals je taal gebruikt om met mensen te communiceren, gebruiken programmeurs programmeertalen om websites, apps en software te bouwen.
Hoe nu verder?
Als alles goed gaat, zouden websites op relatief korte termijn weer moeten werken. Al kunnen er altijd toch problemen optreden.
Zo zou het kunnen dat veel meer mensen dan normaal opeens een PHP-update willen downloaden, waardoor de servers overbelast raken. Ook kunnen software-updates altijd misgaan. De kans dat de bewuste websites later vanavond of zelfs morgen nog offline zijn, lijkt echter klein.
[ Voor 186% gewijzigd door ETH0.1 op 21-10-2026 16:18 ]
:strip_icc():strip_exif()/u/5964/crop56503163e97a5.jpeg?f=community)
:strip_icc():strip_exif()/u/85246/alterbirdgeblackbirdsmall.jpg?f=community)
/u/441020/crop577ad2276cade.png?f=community)
:strip_icc():strip_exif()/u/190472/crop66e141bdf129f_cropped.jpg?f=community)
/u/35508/crop61e6aa7b579e2_cropped.png?f=community)
:strip_icc():strip_exif()/u/2099204/crop65f47b649a659_cropped.jpg?f=community)
/u/840449/crop6304ec165645d_cropped.png?f=community)
:strip_exif()/f/image/f9gcHj9XNx72bQPM0QzEpiW8.png?f=user_large)
:strip_icc():strip_exif()/u/116726/crop5e3ee297a8a03_cropped.jpeg?f=community)
. Mensen komen morgen maar teruf
:strip_icc():strip_exif()/u/132250/d1ca484677dbb1382705e67689809639.jpeg?f=community)
:strip_icc():strip_exif()/u/4167/bacall8.jpg?f=community)
