Op 21 oktober 2026 bracht het PHP-project updates uit voor twee kritieke kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. De fixes zijn opgenomen in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. PHP zegt dat upgraden de enige volledige oplossing is.
Wat de twee kwetsbaarheden doen
CVE-2026-109618 betreft geheugenproblemen bij een out-of-memory-situatie: verzoekgegevens kunnen dan gedeeltelijk zijn geïnitialiseerd, waarna de opruimcode ze verkeerd verwerkt. Bij CVE-2026-109619 kan interne toestand achterblijven nadat het bijbehorende geheugen is vrijgegeven. Een later verzoek in hetzelfde workerproces kan die verouderde toestand opnieuw gebruiken.
PHP noemt webserverinstallaties met PHP-FPM, Apache mod_php, php-cgi, FrankenPHP en LiteSpeed als risicovol. PHP noemt mod_php de configuratie met het hoogste risico. Google Cloud geeft beide kwetsbaarheden een CVSS v4.0-basisscore van 9,2, met de beoordeling Critical.
Wiz meldde demonstraties van code-uitvoering op afstand zonder authenticatie in geselecteerde PHP-toepassingen, plus een afzonderlijke route om procesgeheugen bloot te leggen. PHP-gebruik wordt volgens schattingen van OpenAI en Wiz op ongeveer 70 procent van websites toegepast. Blootstelling aan deze kwetsbaarheden hangt af van de PHP-versie, runtime en configuratie.
Michael Safi en Aisha Down bespreken de PHP-kwetsbaarheden en het onderhoud van verouderde webinfrastructuur in deze Engelstalige podcastaflevering.
De PHP-versies met de fixes
| PHP-branch | Gepatchte versie voor CVE-2026-109618 en CVE-2026-109619 |
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
PHP 8.1 en oudere branches krijgen geen reguliere beveiligingsupdates meer van het PHP-project. PHP leverde minimale broncode-backports voor 7.4, 8.0 en 8.1. Distributies en leveranciers van langetermijnondersteuning kunnen eigen pakketten aanbieden, dus de beschikbare update kan per leverancier verschillen. PHP’s officiële release-informatie en updateadvies bevat de details voor beheerders.
Calif, Wiz en OpenAI droegen afzonderlijk bij
Volgens OpenAI ontdekte Calif een kritieke fout met hulp van GPT-5.6 Sol als onderdeel van Patch the Planet. Calif beschrijft het werk als onderzoek onder leiding van Ryan Austin, wiens PHP-kennis en kennis van eerdere kwetsbaarheden richting gaven aan het gebruik van een taalmodel. Calif zegt dat het op 1 augustus meerdere routes naar code-uitvoering op afstand vond en op 11 augustus de eerste fout bij PHP meldde.
Wiz zegt onafhankelijk een kwetsbaarheid te hebben gevonden op 19 augustus en de problemen op 24 augustus bij PHP te hebben gemeld. De PHP Foundation meldt dat OpenAI dezelfde hoofdoorzaak afzonderlijk rapporteerde en op 18 september aanvullende aanvalspaden doorgaf. PHP-beheerders leidden de reparaties en brachten de nieuwe versies uit.
Wat de gemelde honeypotpoging inhoudt
Amazon meldde dat op 17 oktober een poging tot exploitatie een MadPot-honeypot bereikte. Amazon stelde niet vast hoe de actor aan de informatie kwam of of de poging op een echt systeem zou slagen. Het was een waargenomen poging tegen een honeypot.
OpenAI schetste een voorstel voor toekomstige meldingen
OpenAI beschreef Patch the Planet op 21 oktober als een al bestaand initiatief en stelde daarnaast een vijfstappenaanpak voor toekomstige gecoördineerde bekendmakingen voor.
