Signalen van misbruik PHP-lekken, maar risico lijkt kleiner dan gevreesd

In dit artikel:

De recent ontdekte kwetsbaarheden in PHP worden mogelijk al misbruikt. Het Nationaal Cyber Security Centrum (NCSC) kreeg vanuit het buitenland een melding, maar kon niet bevestigen dat een aanval succesvol was. Omdat er al proof-of-concepts bestaan, blijft nieuw misbruik aannemelijk. Onderzoek wijst er wel op dat de aanvallen technisch ingewikkeld zijn en grootschalig misbruik minder waarschijnlijk is dan aanvankelijk gedacht.

De kwetsbaarheden kunnen aanvallers op afstand commando’s laten uitvoeren, ook wel Remote Code Execution (RCE). Ze treffen alle PHP-versies vanaf versie 5 en daarmee niet alleen websites, maar ook andere producten en systemen waarin PHP is verwerkt. Vooral oudere, niet meer ondersteunde versies vormen een risico. Het NCSC adviseert organisaties daarom dringend alle beschikbare beveiligingsupdates te installeren en afhankelijkheden in hun leveranciersketen in kaart te brengen.

De uitgebrachte patches lijken voorlopig goed te werken. De PHP Foundation meldde vrijdag bovendien een nieuwe kwetsbaarheid, CVE-2026-115560, maar acht het onwaarschijnlijk dat die tot RCE leidt; herstel volgt in een reguliere bugfixrelease. Nadat eerdere patches waren verschenen, kwamen websites die woensdag offline waren gegaan geleidelijk weer online. Toch heeft volgens MindYourPass-directeur Merijn de Jonge slechts ongeveer de helft van de Nederlandse PHP-gebruikers de updates geïnstalleerd.

De situatie werd verergerd door een conflict over de openbaarmaking. PHP-ontwikkelaars verwijten beveiligingsbedrijf Chainguard het embargo te hebben geschonden door software met de oplossingen ruim zes uur te vroeg te publiceren. Chainguard zegt dat te hebben gedaan na signalen van actieve aanvalspogingen. Cloudflare-topman Matthew Prince meldde vervolgens duizenden exploitpogingen vóór de bekendmaking, oplopend tot miljoenen daarna.