Cisco Talos meldt in een update van 22 oktober 2026 dat het binnen enkele uren na de openbaarmaking pogingen waarnam om CVE-2026-109618 en CVE-2026-109619 uit te buiten. De activiteit bestond vooral uit scans en ongecoördineerde pogingen om payloads af te leveren. Talos rapporteert pogingen, geen bevestigde succesvolle compromittering.

Wat Talos na de openbaarmaking waarnam

Scans en pogingen om payloads af te leveren wijzen op belangstelling van aanvallers, maar zijn op zichzelf geen bevestigde inbraak. Talos beschrijft de waargenomen activiteit als grotendeels verkennend; de update meldt geen succesvolle compromittering.

De twee beoordelingen vallen op verschillende momenten

In zijn eerste beoordeling meldde Talos op 21 oktober 2026 om 14.00 UTC nog geen exploitatie in het wild te hebben waargenomen. De update van 22 oktober beschrijft pogingen die binnen enkele uren na de openbaarmaking zijn gezien. De meldingen gaan dus over verschillende waarnemingsmomenten.

Twee kwetsbaarheden in PHP core

CVE-2026-109618 en CVE-2026-109619 zijn fouten in PHP core, de kern van de programmeertaal PHP. Talos zegt dat PHP-builds vanaf versie 5.4 zijn getroffen en dat een HTTP-verzoek de fouten kan bereiken voordat applicatiecode draait. Beide kwetsbaarheden hebben volgens Talos een score van 9,2 op de CVSS v4.0-schaal.

Bij CVE-2026-109618 kan een geheugentekort de verwerking onderbreken terwijl verzoekgegevens nog niet volledig zijn klaargezet. Bij het opruimen kan PHP die ongeldige gegevens vervolgens als geldig behandelen. CVE-2026-109619 betreft verouderde interne status die opnieuw wordt gebruikt nadat het achterliggende geheugen is vrijgegeven.

Vaste PHP-versies en tijdelijke maatregelen

CERT-EU noemt PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12 als versies waarin de fouten zijn verholpen. De fixes waren op 21 oktober gepubliceerd. In onze eerdere uitleg over de PHP-fixes staan de versies per PHP-branch.

Een tijdelijke instelling vervangt de update niet. Talos noemt het uitschakelen van session.upload_progress.enabled als maatregel tegen bepaalde bevestigde aanvalspaden van CVE-2026-109619. Die instelling dekt niet alle varianten en verhelpt CVE-2026-109618 niet. Talos beveelt aan over te stappen op een vaste PHP-release; tijdelijke maatregelen bieden volgens de organisatie geen volledige bescherming.