CISA raadt onmiddellijke correctie van PHP-kwetsbaarheden aan

Code is displayed on a computer monitor — Rob Wingate / Unsplash

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft een sterke aanbeveling gedaan om twee ernstige kwetsbaarheden in de programmeertaal "PHP" onmiddellijk te verhelpen. Indien het moeilijk is om deze updates door te voeren, raadt CISA aan om systemen offline te halen.

De waarschuwing werd op 21 oktober 2026 op lokale tijd gepubliceerd. De kwetsbaarheden, bekend als "php2shell", zijn aangeduid met de identificatienummers "CVE-2026-109618" en "CVE-2026-109619". CISA wijst erop dat alle omgevingen die webverzoeken verwerken met "PHP" getroffen kunnen worden. Er bestaat een risico dat zonder authenticatie op afstand willekeurige code kan worden uitgevoerd.

Op het moment dat het advies werd opgesteld, waren er geen meldingen van misbruik van deze kwetsbaarheden. CISA vraagt organisaties om de situatie van het gebruik van "PHP" binnen hun systemen in kaart te brengen en deze onmiddellijk te updaten naar de versies "PHP 8.5.12", "PHP 8.4.27", "PHP 8.3.36" en "PHP 8.2.35".

De focus ligt met name op systemen die met het internet zijn verbonden, en er wordt ook opgeroepen om aandacht te besteden aan systemen waarin "PHP" is geïntegreerd.

Hoewel een webapplicatiefirewall (WAF) enige bescherming kan bieden, benadrukt CISA dat systemen met "PHP" offline moeten worden gehouden totdat ze zijn geüpdatet of de patches zijn toegepast. Ook wordt aangeraden om verdachte gedragingen, zoals het opstarten van shells vanuit de PHP-werknemersprocessen of het downloaden van tools, in de gaten te houden.