Op 26 oktober 2026 voegde CISA CVE-2026-109618 en CVE-2026-109619 toe aan de Known Exploited Vulnerabilities-catalogus (KEV), de lijst met bekende, uitgebuite kwetsbaarheden. De PHP Foundation had vier gecorrigeerde versies gepubliceerd op 21 oktober. In onze eerdere berichtgeving over de PHP-fixes en wat beheerders moesten doen stonden die releases centraal; de KEV-vermelding van CISA volgde vijf dagen later.

Wat CISA’s KEV-vermelding inhoudt

CISA nam beide CVE’s op in de catalogus voor bekende, uitgebuite kwetsbaarheden. De Amerikaanse instantie moedigde organisaties aan zulke vermeldingen volgens risicogebaseerd kwetsbaarhedenbeheer met voorrang te verhelpen. De bijbehorende bindende richtlijn geldt voor Amerikaanse federale uitvoerende instanties.

De vermelding gaat over de status van de kwetsbaarheden. De PHP-fouten zitten in de runtime die webverzoeken op een server verwerkt.

De twee kwetsbaarheden werken verschillend

Volgens The PHP Foundation kan CVE-2026-109618 leiden tot uitvoering van code op afstand door geheugencorruptie bij een geheugentekort. Als PHP op een precies ongelukkig moment de geheugenlimiet bereikt, kan interne informatie gedeeltelijk zijn geïnitialiseerd en later toch als geldig worden behandeld. Bij Apache met mod_php kan een niet-geauthenticeerd verzoek dit veroorzaken voordat de applicatiecode draait. De Foundation meldt dat uitvoering van code op afstand onder standaardinstellingen is aangetoond en ook via toepassingsroutes met PHP-FPM is bevestigd.

CVE-2026-109619 betreft verouderde interne aanvraagstatus. Na een fatale fout kan die status nog verwijzen naar geheugen van een eerdere aanvraag. Een volgende aanvraag op dezelfde worker kan dat vrijgegeven geheugen gebruiken. The PHP Foundation meldt dat een use-after-free en een crash van de worker zijn bevestigd; een onderzoeker demonstreerde uitvoering van code op afstand in een bestaande toepassing met Apache en mod_php.

Deze PHP-versies bevatten de fixes

The PHP Foundation noemt vier gecorrigeerde releases, uitgebracht op 21 oktober 2026:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

BA-CSIRT, het cyberveiligheidscentrum van de regering van Buenos Aires, zegt dat PHP 8.1 en oudere versies buiten de officiële ondersteuning van het PHP-project vallen. Voor die installaties adviseert het een overstap naar een ondersteunde branch of een beveiligingsupdate van de betreffende leverancier of distributie. De waarschuwing van BA-CSIRT noemt dezelfde vier gecorrigeerde versies.

Wat er over Argentijnse overheidssites is gemeld

Ariel Cessario, voormalig coördinator van het Argentijnse CERT, zei tegen Clarín dat Argentina.gob.ar en de ministeries van Volksgezondheid en Economie de aanbevolen maatregelen uiterlijk 22 oktober hadden uitgevoerd.

Clarín meldde cijfers van een externe inventarisatie door Segu-info, met een peilmoment op 29 oktober 2026 om 13.53 uur. Van een totaaloverzicht van 35.847 gob.ar-sites waren er toen 13.977 onderzocht. Op 4.758 daarvan waren signalen van PHP-gebruik gevonden: 2.354 gevallen met expliciete aanwijzingen en 2.404 afgeleid uit gedetecteerde toepassingen. De cijfers beschrijven dus PHP-gebruik op onderzochte sites.

Welke controles BA-CSIRT beheerders aanraadt

BA-CSIRT adviseert beheerders om de PHP-versie te controleren, een gecorrigeerde release of een beveiligingspakket van de leverancier of distributie toe te passen en na te gaan of alle PHP-omgevingen zijn bijgewerkt. Beheert een hostingprovider de server, dan kunnen beheerders contact opnemen met die provider of het verantwoordelijke technische team. Tijdelijke maatregelen vervangen de update niet.