PHP brengt fixes uit voor twee kritieke beveiligingslekken

PHP publiceerde op 21 oktober 2026 upstream-fixes voor CVE-2026-109618 en CVE-2026-109619. De juiste versie hangt af van de PHP-branch die je gebruikt. De fixes staan in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, zoals PHP vermeldt in het officiële beveiligingsbericht. PHP kende beide kwetsbaarheden een score van 9,2 toe volgens CVSS v4.0.

Welke PHP-versies bevatten de fixes?

Kies de vaste versie voor de branch die je server gebruikt, of het bijgewerkte pakket of de backport van je distributie- of hostingprovider. Een upstream-release betekent niet automatisch dat een providerpakket of serverinstallatie al is bijgewerkt.

Wat de twee kwetsbaarheden doen

PHP beschrijft beide problemen als risico’s op uitvoering van code op afstand zonder voorafgaande authenticatie in installaties die webverzoeken verwerken. De onderliggende fouten verschillen.

Bij CVE-2026-109618 kan een tekort aan geheugen de verwerking onderbreken terwijl interne verzoekgegevens nog maar deels zijn geïnitialiseerd. Tijdens het opruimen kan PHP die ongeldige gegevens vervolgens als geldig behandelen. Bij CVE-2026-109619 kan interne status van een verzoek achterblijven nadat het geheugen erachter is vrijgegeven. Een later verzoek op dezelfde worker kan die verouderde status gebruiken voordat de normale initialisatie deze reset.

PHP noemt PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed als webserverconfiguraties met risico. PHP noemt mod_php het grootste risico: een niet-geauthenticeerd verzoek kan daar het kwetsbare pad bereiken voordat applicatiecode draait.

Tijdelijke instellingen vervangen de update niet

PHP noemt voor CVE-2026-109619 het uitschakelen van session.upload_progress.enabled en het herstarten van alle workers als maatregelen die bevestigde sessiepaden blokkeren. Ze dekken geen andere varianten. Op PHP 8.5 kan fatal_error_backtraces=0 het bevestigde pad via fatale fout-tracebacks blokkeren, eveneens zonder alle varianten af te dekken.

Voor CVE-2026-109618 adviseert PHP memory_limit=-1, zo ingesteld dat applicaties de waarde niet kunnen aanpassen. PHP noemt daarnaast een lage post_max_size: 8M als uploads niet nodig zijn en 32M als ze wel nodig zijn, plus passende grenzen voor systeembronnen. Zelfs dan kan een onderliggende allocatiefout het kwetsbare pad bereiken.

Deze maatregelen beperken de blootstelling aan specifieke paden. PHP zegt dat alleen bijwerken de kwetsbaarheden volledig verhelpt.

PHP 8.1 en ouder: sourcebackports en providerpakketten

PHP 8.1 en oudere branches krijgen geen updates meer van het PHP-project. PHP publiceerde minimale sourcebackports voor PHP 7.4, 8.0 en 8.1, bedoeld voor wie PHP zelf bouwt of geen toegang heeft tot een LTS-provider. Zo’n wijziging in de broncode is niet hetzelfde als een bijgewerkt pakket op een server. Voor een oudere installatie hangt de beschikbare pakketfix af van de distributie- of hostingprovider; een overstap naar een ondersteunde branch is de andere route die PHP noemt.