PHP-geheugenlek maakt uitvoering van code op afstand mogelijk; misbruikt in het wild

Wat is er gebeurd

In PHP, de scripttaal die wordt onderhouden door de PHP Group, is een kritieke zwakke plek gevonden. Wanneer PHP tijdens een verzoek het geheugen opraakt, springt het uit de huidige verwerkingscontext om het verzoek af te breken. Sommige delen van de code verwerken deze abrupte onderbreking niet correct. Ze kunnen het geheugen van het verzoek ongeïnitialiseerd achterlaten voordat een toewijzing plaatsvindt, en de opruimroutine die daarna draait kan dan handelen op die ongeïnitialiseerde gegevens.

Volgens de beschrijving kunnen verschillende manieren om het geheugen uit te putten deze toestand betrouwbaar veroorzaken. Het gevolg kan uitvoering van code op afstand op de getroffen server zijn.

Het lek is gepubliceerd op 2026-10-21. CISA heeft het op 2026-10-26 toegevoegd aan de catalogus Known Exploited Vulnerabilities, wat betekent dat het in het wild wordt misbruikt.

Wie is getroffen

De gegevens waarover wij beschikken noemen de volgende PHP-versies als getroffen: 7.3.0 tot maar niet inclusief 8.2.35, 8.3.0 tot maar niet inclusief 8.3.36, 8.4.0 tot maar niet inclusief 8.4.27 en 8.5.0 tot maar niet inclusief 8.5.12.

Ook producten die PHP bevatten worden genoemd. Daaronder vallen Palo Alto Networks PAN-OS en de Panorama virtual appliance, en Siemens Energy Engage, Spectrum Power 4 en Spectrum Power 7, samen met andere software die PHP meelevert.

Cisco heeft advies cisco-sa-php-october26-Jj384Daq gepubliceerd over PHP-kwetsbaarheden die de producten van Cisco treffen. Fortinet heeft advies FG-IR-26-186 gepubliceerd. Geen van beide adviezen bevestigt een oplossing in de gegevens waarover wij beschikken.

Hoe ernstig is het

Het PHP-project beoordeelt het lek met 9.2 van de 10 volgens CVSS versie 4.0, wat in het kritieke bereik valt. Een aanvaller hoeft niet in te loggen en er hoeft geen gebruiker iets te doen. De scoring merkt echter op dat succesvol misbruik afhangt van voorwaarden die de complexiteit verhogen.

CISA vermeldt het lek als actief misbruikt en heeft een uiterste hersteldatum van 2026-10-29 vastgesteld voor Amerikaanse federale instanties. De EPSS-score, een schatting van de kans dat een kwetsbaarheid wordt misbruikt, is 0.99999. Tot de genoemde zwakteklassen behoren CWE-416 (use after free) en CWE-824 (toegang tot een ongeïnitialiseerde pointer).

Wat moet u doen

1. 1Upgrade PHP naar een release buiten de hierboven genoemde getroffen versiebereiken, volgens de richtlijnen van de PHP Group.
2. 2Controleer of producten van Palo Alto Networks, Siemens, Cisco of Fortinet in uw omgeving een getroffen PHP-versie meeleveren.
3. 3Volg Cisco-advies cisco-sa-php-october26-Jj384Daq en Fortinet-advies FG-IR-26-186 voor richtlijnen over de producten van die leveranciers.
4. 4Pas de mitigaties van de leverancier toe waar nog geen updates beschikbaar zijn, zoals CISA voorschrijft, of stop met het gebruik van het product als er geen mitigaties bestaan.
5. 5Controleer met het internet verbonden PHP-servers op tekenen van compromittering, gezien het bevestigde misbruik.

Kerngegevens