PHP-kwetsbaarheid maakt uitvoering van code op afstand mogelijk; misbruikt in het wild

Wat is er gebeurd

PHP houdt een globale status bij die kortstondig verwijst naar geheugen dat bij een afzonderlijk verzoek hoort. Onder bepaalde omstandigheden wordt deze status niet goed gewist, of opnieuw gevuld nadat hij is gewist, waardoor hij nog kan verwijzen naar verzoekgeheugen dat al is vrijgegeven. Een later verzoek kan deze verouderde status dan lezen of gebruiken voordat hij correct is ingesteld. Dit is een zwakke plek van het type use-after-free, en deze kan op meer dan één manier worden uitgelokt om code op afstand uit te voeren.

De kwetsbaarheid is gepubliceerd op 2026-10-21. CISA heeft haar op 2026-10-26 toegevoegd aan de catalogus Known Exploited Vulnerabilities, wat betekent dat ze in het wild wordt misbruikt. Cisco en Fortinet hebben adviezen gepubliceerd over de gevolgen voor hun producten.

Wie is getroffen

De leverancier is de PHP Group. Getroffen PHP-versies zijn 5.4.0 tot en met versies lager dan 8.2.35, 8.3.0 tot versies lager dan 8.3.36, 8.4.0 tot versies lager dan 8.4.27 en 8.5.0 tot versies lager dan 8.5.12.

De kwetsbaarheid raakt ook producten die PHP bevatten, waaronder Palo Alto Networks PAN-OS en de virtuele Panorama-appliance, en Siemens Energy Engage, Spectrum Power en AMIS TS, evenals andere software die PHP meelevert. Ook Cisco (advies cisco-sa-php-october26-Jj384Daq) en Fortinet (advies FG-IR-26-186) hebben adviezen uitgebracht, maar volgens de ons beschikbare gegevens vermelden beide niet welke oplossingen voor hun producten gelden.

Hoe ernstig is het

Het beveiligingsteam van PHP heeft de kwetsbaarheid een score van 9.2 gegeven volgens CVSS 4.0, wat kritiek is. Volgens de vector kan ze via het netwerk worden aangevallen zonder inloggegevens of gebruikersinteractie, hoewel de complexiteit van de aanval als hoog wordt beoordeeld en bepaalde voorwaarden aanwezig moeten zijn. Een geslaagde aanval kan de vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem volledig aantasten.

De vermelding in de CISA KEV bevestigt actief misbruik. De EPSS-score, een schatting van de kans op misbruik, bedraagt 0.99999. CISA heeft voor Amerikaanse federale instanties een uiterste hersteldatum vastgesteld van 2026-10-29.

Wat moet u doen

1. 1Werk PHP bij naar een versie buiten de getroffen bereiken die in het PHP-beveiligingsadvies worden genoemd.
2. 2Stel vast welke appliances en applicaties PHP meeleveren, waaronder PAN-OS, Panorama en producten van Siemens, en pas de aanwijzingen van de betreffende leveranciers toe.
3. 3Raadpleeg het Cisco-advies cisco-sa-php-october26-Jj384Daq en het Fortinet-advies FG-IR-26-186 voor getroffen producten en mitigerende maatregelen.
4. 4Pas de mitigerende maatregelen van de leveranciers toe zoals CISA voorschrijft, en stop met het gebruik van een product als er geen mitigerende maatregelen beschikbaar zijn.
5. 5Controleer vanaf internet bereikbare PHP-systemen op tekenen van compromittering en houd de leveranciers in de gaten voor verdere updates.

Kerngegevens