Twee ernstige beveiligingslekken in PHP zetten het internet vandaag op scherp.
Amsterdam, woensdag, 21 oktober 2026. Informatie over twee kritieke PHP-lekken lekte uit via Hacker News. Kwaadwillenden kunnen hiermee eenvoudig servers overnemen. Beheerders moeten hun systemen daarom vandaag direct updaten.
Groot lek bedreigt e-commerce
De beveiligingslekken CVE-2026-109618 en CVE-2026-109619 treffen vrijwel alle PHP-versies sinds PHP 5 [1][3][6]. De ontwikkelaars stelden de officiële patches vast op vandaag, woensdag 21 oktober 2026 om 14:00 UTC [2][6]. Webwinkels en software op populaire e-commerceplatforms zoals Magento, Shopware en WooCommerce lopen direct gevaar [6]. Kwaadwillenden kunnen via een simpel Python-script de controle over servers overnemen en inlogbeveiligingen van systemen zoals WordPress of Joomla omzeilen [1][6].
Economische schade en risico’s voor webshops
De economische impact voor de digitale markt kan aanzienlijk zijn. Cybercriminelen krijgen mogelijk toegang tot gevoelige gegevens en betaalgegevens van consumenten [1][8]. Beveiligingsonderzoekers van Sansec waarschuwen dat reguliere beveiligingsfilters de aanval niet op tijd stoppen [6]. Ongeveer 884.000 servers wereldwijd draaien nog op verouderde PHP-versies [7]. Dat is 58.933% van de 1,5 miljoen geanalyseerde systemen [7]. Aangezien PHP geen patches levert voor versies ouder dan PHP 8.2, dreigen onvoorbereide bedrijven directe reputatieschade en financieel verlies door uitval te lijden [6][7].
Noodmaatregelen voor IT-beheerders
Beveiligingsbedrijven zoals watchTowr en Huntress adviseren beheerders om direct hun PHP-omgevingen te controleren [2][3]. Wie niet meteen kan upgraden naar PHP 8.2 of nieuwer, moet serverinstellingen aanpassen [6]. Sansec adviseert om de optie session.upload_progress.enabled uit te schakelen [6]. E-commercebedrijven voorkomen hiermee dat aanvallers het winkelproces platleggen of klantgegevens stelen [6][8]. Snel handelen is vandaag de enige manier om financiële schade te voorkomen [3][6].