Immunefi-topman waarschuwt: PHP-risico blijft na noodpatches nog weken bestaan
De noodpatches voor twee kritieke PHP-lekken liggen klaar, maar daarmee zijn kwetsbare servers nog niet automatisch veilig. Immunefi-topman Mitchell Amador waarschuwt dat vooral kleinere organisaties weken nodig kunnen hebben voordat alle betrokken systemen daadwerkelijk zijn bijgewerkt.
Het Nederlandse NCSC nuanceert tegelijk het dreigingsbeeld. Grootschalig misbruik lijkt moeilijker dan eerst gedacht, maar systemen zonder patch blijven reden voor directe actie.
Patch beschikbaar betekent nog niet patch geïnstalleerd
PHP bracht op 21 oktober beveiligingsupdates uit voor CVE-2026-109618 en CVE-2026-109619.
Beide kwetsbaarheden kunnen onder bepaalde omstandigheden leiden tot remote code execution. Een aanvaller kan dan zonder geldige login eigen code op een getroffen systeem uitvoeren.
Het PHP-project bracht daarvoor PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit.
De boodschap van de ontwikkelaars is scherp: er bestaat geen volledige tijdelijke maatregel die een beveiligingsupdate vervangt.
Maar een release op de website van PHP verandert niets aan een server die nog op de oude versie draait.
Vooral kleine organisaties kunnen achterlopen
Dat gat is waar Amador voor waarschuwt.
Een grote organisatie kan teams hebben die direct inventariseren welke systemen PHP gebruiken, patches testen en daarna uitrollen.
Bij kleinere bedrijven ligt dat anders.
Daar kan één beheerder meerdere systemen onderhouden. Software kan via externe leveranciers draaien. En soms is niet direct zichtbaar dat PHP onderdeel is van een pakket dat door een andere partij wordt geleverd.
De tijd tussen patch beschikbaar en patch werkelijk geïnstalleerd kan daardoor dagen of langer bedragen.
Amador verwacht dat het risico bij achterblijvende systemen nog weken zichtbaar kan blijven.
AI maakt zoeken goedkoper, repareren niet automatisch sneller
De waarschuwing past in een bredere analyse die Amador eerder dit jaar publiceerde.
In zijn essay The Vulnerability Apocalypse beschrijft hij een asymmetrie: AI en automatisering maken het goedkoper om software op fouten te doorzoeken, terwijl verificatie, beoordeling en reparatie nog steeds menselijke tijd kosten.
Dat verschil kan de druk op beveiligingsteams vergroten.
Meer gevonden kwetsbaarheden betekenen niet automatisch dat organisaties ze ook sneller kunnen oplossen.
Voor aanvallers kan dezelfde ontwikkeling bovendien betekenen dat bekende fouten sneller op grote schaal worden onderzocht.
NCSC verlaagt inschatting voor massaal misbruik
De Nederlandse veiligheidsdienst kwam na de eerste waarschuwing wel met een belangrijke bijstelling.
In een update van 23 oktober schrijft het NCSC dat misbruik van de twee PHP-problemen ingewikkelder blijkt dan aanvankelijk werd gedacht.
Daarom wordt de kans op grootschalig misbruik lager ingeschat.
Het NCSC kende op dat moment één buitenlands signaal van mogelijk misbruik.
Of die aanval daadwerkelijk succesvol was, was nog niet bevestigd.
Dat is iets anders dan bewijs voor een wereldwijde golf van geslaagde aanvallen.
Lager risico is geen reden om te wachten
De bijgestelde inschatting verandert het advies niet.
Het NCSC blijft organisaties oproepen zo snel mogelijk de nieuwste beveiligingsupdates te installeren.
Systemen die nog kwetsbaar zijn en niet direct kunnen worden bijgewerkt, moeten volgens het centrum opnieuw op hun blootstelling worden beoordeeld.
Dat verschil is belangrijk.
“Minder kans op grootschalig misbruik” betekent niet dat de kwetsbaarheden ongevaarlijk zijn.
Het betekent alleen dat het technische aanvalspad minder eenvoudig blijkt dan de eerste waarschuwingen deden vermoeden.
Een afzonderlijk kwetsbaar systeem kan nog steeds worden aangevallen.
Twee fouten kunnen servercode laten uitvoeren
Het technische NCSC-advies beschrijft beide problemen als geheugenfouten.
Bij CVE-2026-109618 kan een Out-of-Memory-situatie ervoor zorgen dat interne requestgegevens niet volledig correct worden opgebouwd.
Die beschadigde toestand kan vervolgens tijdens verdere verwerking worden gebruikt.
CVE-2026-109619 draait om interne toestand die na het vrijgeven van geheugen kan achterblijven.
Een volgend verzoek dat door dezelfde worker wordt verwerkt, kan die oude toestand tegenkomen voordat alles opnieuw correct is ingesteld.
Onder de juiste omstandigheden kunnen beide problemen uitmonden in uitvoering van willekeurige code.
PHP zit niet alleen achter herkenbare websites
Daar zit voor organisaties nog een inventarisatieprobleem.
PHP kan zichtbaar onderdeel zijn van een website of webapplicatie.
Maar dezelfde software kan ook in andere producten zitten.
Het NCSC noemt onder meer applicaties en netwerkapparatuur.
Een bedrijf dat zelf nergens een losse PHP-server beheert, kan daardoor nog steeds afhankelijk zijn van software waarin PHP is verwerkt.
Wie beheer heeft uitbesteed, moet daarom ook controleren wat hostingbedrijven en andere IT-leveranciers hebben bijgewerkt.
Alleen zoeken naar een map met “PHP” op een eigen webserver is niet voldoende.
Crypto voegt een extra risico toe aan een gewone webfout
De kwetsbaarheden zitten niet in Bitcoin, Ethereum of een ander blockchainprotocol.
Toch kunnen ze voor cryptobedrijven extra gevoelig zijn.
Veel gebruikers benaderen exchanges, DeFi-apps en andere diensten via gewone websites.
Een aanvaller die zo'n webomgeving overneemt, hoeft de onderliggende blockchain niet te breken om schade te veroorzaken.
Een gewijzigde webpagina kan bijvoorbeeld proberen een gebruiker naar een ongewenste handeling te sturen.
Daarom waarschuwt Amador gebruikers om voorzichtig te zijn met het verbinden van een wallet aan websites waarvan de beveiligingsstatus onduidelijk is.
Een veilige blockchain maakt de voorkant niet automatisch veilig
Dat onderscheid keert vaker terug bij crypto-incidenten.
Een protocol kan technisch gewoon functioneren terwijl de website, API of ledenomgeving van een organisatie wordt stilgelegd wegens een softwareprobleem.
De gebruiker ziet vaak één dienst.
Technisch bestaan daar meerdere lagen onder.
De beveiliging van een cryptodienst hangt daardoor niet alleen af van smart contracts of cryptografische sleutels.
Ook traditionele websoftware blijft onderdeel van het risico.
PHP is daar deze week een duidelijk voorbeeld van.
Tijdelijke maatregelen lossen de fout niet volledig op
Het NCSC beschrijft tijdelijke maatregelen voor organisaties die niet direct kunnen updaten.
Die kunnen specifieke aanvalsroutes beperken.
Maar het PHP-project maakt duidelijk dat zulke maatregelen de kwetsbaarheid zelf niet volledig wegnemen.
De veilige eindtoestand blijft een bijgewerkte versie.
Dat vraagt soms meer dan één handeling.
Een bedrijf moet eerst vaststellen welke versie draait, daarna kijken of een leverancier een eigen pakket heeft uitgebracht en vervolgens controleren of de update werkelijk actief is.
Alleen een ticket aanmaken bij een leverancier is nog geen technische reparatie.
Geen bewijs dat iedere PHP-site gevaar loopt
De waarschuwingen moeten evenmin worden omgedraaid tot de claim dat iedere website met PHP is gehackt.
Daar is geen bewijs voor.
Of een specifieke omgeving geraakt kan worden, hangt af van versie, configuratie, bereikbaarheid en andere eigenschappen van het systeem.
Ook het ene buitenlandse signaal dat het NCSC noemt, was op 23 oktober nog geen bevestigde succesvolle aanval.
De correcte conclusie is smaller.
Er bestaan twee ernstige PHP-kwetsbaarheden, patches zijn beschikbaar en onbeheerde systemen kunnen achterblijven.
De weken na een noodpatch bepalen het echte bereik
Daar komen de waarschuwing van Amador en de Nederlandse analyse bij elkaar.
Het technische risico op massale uitbuiting kan lager liggen dan op 21 oktober werd gevreesd.
Tegelijk kan een organisatie nog steeds kwetsbaar zijn omdat haar eigen server nooit is bijgewerkt.
Een noodpatch maakt een lek dus technisch oplosbaar.
Pas installatie maakt het systeem daadwerkelijk gerepareerd.
Voor beheerders is de belangrijkste vraag daarom niet meer of PHP een oplossing heeft gepubliceerd.
De vraag is hoeveel oude installaties er maandag nog draaien.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
