Beveiligingswaarschuwing: kritieke kwetsbaarheden in PHP

21 10 2026

Twee kritieke kwetsbaarheden zijn ontdekt in PHP, een technologie die veel wordt gebruikt voor websites en webapplicaties. Aanvallers kunnen mogelijk misbruik maken van een kwetsbare server door een speciaal samengesteld webverzoek te versturen. Daarvoor hoeven ze niet eens in te loggen.

Op 21 oktober 2026 heeft het PHP-project beveiligingsupdates uitgebracht. Voor zover bekend zijn de kernplatformen van SAP en Microsoft niet getroffen. PHP-applicaties die binnen of naast deze omgevingen draaien, kunnen wel kwetsbaar zijn.

Gebruikt jouw organisatie PHP? Controleer dan waar deze technologie wordt ingezet en of er updates nodig zijn.

Ernst

Kritiek

Oplossing beschikbaar

 Ja, sinds 21 oktober 2026

Wie loopt risico

Organisaties die kwetsbare PHP-versies gebruiken, vooral voor websites en applicaties die via internet bereikbaar zijn.

Referentie

CVE-2026-109618 en CVE-2026-109619

Wat is er gebeurd?

PHP is een veelgebruikte technologie achter websites, webshops, klantportalen en allerlei zakelijke applicaties. Op 20 oktober 2026 waarschuwde het PHP-project voor twee kritieke beveiligingslekken. De details werden openbaar voordat er oplossingen beschikbaar waren. Een dag later, op 21 oktober, verschenen de beveiligingsupdates.

De kwetsbaarheden zitten in PHP zelf en niet in een specifieke applicatie. Dat betekent dat zelfs een goed gebouwde website risico kan lopen. Een aanvaller die toegang heeft tot een kwetsbare webserver, kan mogelijk de controle overnemen, opgeslagen gegevens bekijken of de server gebruiken om andere systemen aan te vallen.

Beveiligingsonderzoekers en nationale cybersecuritycentra melden dat aanvalscode inmiddels openbaar beschikbaar is en dat aanvallers actief zoeken naar kwetsbare servers. Er wordt rekening gehouden met grootschalige aanvallen. Het installeren van de juiste beveiligingsupdate is de enige volledige oplossing.


Waarom is dit nu belangrijk?

Zodra informatie over een beveiligingslek openbaar wordt, gaan aanvallers vaak snel aan de slag. Daarom is het belangrijk om systemen met een kwetsbare PHP-versie die via internet bereikbaar zijn, als eerste te controleren en bij te werken.


Waarom delen we deze waarschuwing?

Hoewel delaware PHP niet als technologie of dienst aanbiedt, kan PHP wel worden gebruikt in websites en applicaties die verbonden zijn met of draaien naast de SAP-, Microsoft-, OpenText- en d.velop-omgevingen waarmee we werken.

Met deze waarschuwing helpen we je om mogelijke risico's te herkennen en waar nodig actie te ondernemen.

Deze pagina is voor het laatst bijgewerkt op 22 oktober 2026.

Zijn SAP, Microsoft, OpenText en d.velop getroffen?

Op 21 en 22 oktober 2026 hebben we openbare informatie van leveranciers en nationale cybersecurityorganisaties gecontroleerd. Op het moment van schrijven hebben we geen beveiligingswaarschuwingen van SAP, Microsoft, OpenText of d.velop gevonden waaruit blijkt dat hun kernplatformen door deze kwetsbaarheden zijn getroffen.

Het risico zit vooral in websites, applicaties en servers die PHP gebruiken en verbonden zijn met of draaien naast deze platformen.

Een belangrijk verschil: Gebruik je een clouddienst die volledig door SAP, Microsoft, OpenText of d.velop wordt beheerd? Dat is iets anders dan wanneer je zelf een PHP-applicatie draait op de cloudinfrastructuur van een van deze leveranciers. In dat laatste geval moet je de applicatie nog steeds controleren.

SAP

Voor zover bekend zijn de kernplatformen niet getroffen

De belangrijkste bedrijfssystemen van SAP, zoals S/4HANA en andere platformen op basis van ABAP of Java, zijn voor zover bekend niet kwetsbaar voor deze beveiligingslekken. Op het moment van schrijven hebben we hierover geen SAP Security Note of officiële verklaring gevonden.

We raden je aan om te controleren of je PHP gebruikt voor:

  • Websites, portalen en webshop-front-ends die gekoppeld zijn aan SAP, maar op PHP draaien.

  • PHP-applicaties die je zelf hebt uitgerold op cloudplatformen, waaronder het cloudplatform van SAP. In dat geval ben je zelf verantwoordelijk voor het updaten van de PHP-runtime.

  • Servers binnen of naast je SAP-landschap waarop PHP is geïnstalleerd als onderdeel van het besturingssysteem of een ondersteunende tool.

Microsoft

Voor zover bekend zijn de kernplatformen niet getroffen

Microsoft 365, Dynamics 365 en Entra ID zijn voor zover bekend niet kwetsbaar voor deze beveiligingslekken. Op het moment van schrijven hebben we hierover geen beveiligingswaarschuwing van Microsoft gevonden.

We raden je aan om te controleren of je PHP gebruikt voor:

  • PHP-websites en applicaties die draaien op virtuele machines, containers of Kubernetes binnen Azure.

  • Websites op Azure App Service die een PHP-runtime gebruiken. Mogelijk moet de gekozen PHP-versie worden bijgewerkt.

  • Windows- of Linux-webservers, zoals IIS, Apache of Nginx, waarop PHP is geïnstalleerd. Dit geldt zowel voor servers in Azure als voor servers binnen je eigen organisatie.

Deze beoordeling is gebaseerd op de openbaar beschikbare informatie van 21 oktober 2026. SAP en Microsoft kunnen nog aanvullende richtlijnen publiceren. Ook wordt er nog gewerkt aan een landelijk overzicht van getroffen softwareproducten.

We werken deze waarschuwing bij zodra de situatie verandert.

Wat betekent dit voor jou?

Gebruik je alleen clouddiensten die door SAP of Microsoft worden beheerd?

Voor zover bekend zijn je belangrijkste SAP- en Microsoft-diensten niet getroffen door deze PHP-kwetsbaarheden.

Controleer wel of je organisatie daarnaast websites, portalen of applicaties gebruikt die op PHP draaien.

Gebruik je websites of applicaties die op PHP draaien?

Controleer welke PHP-versie deze systemen gebruiken en of er een update nodig is.

Dit geldt ook voor applicaties die zijn gebouwd met populaire platformen en frameworks zoals WordPress, Drupal, Magento, Joomla en Laravel.

Het maakt daarbij niet uit of deze applicaties intern worden gehost, in de cloud draaien of worden beheerd door een webbureau of hostingprovider.

Gebruik je een oudere PHP-versie?

Het PHP-project heeft beveiligingsupdates uitgebracht voor PHP-versies 8.2 tot en met 8.5.

Oudere versies worden officieel niet meer ondersteund. Gebruik je zo'n oudere versie? Plan dan zo snel mogelijk een upgrade of vraag je softwareleverancier of hostingprovider of er een beveiligingsupdate beschikbaar is.

Weet je niet of je PHP gebruikt?

Vraag je IT-team, webbureau of hostingprovider om dit te controleren.

Begin met websites en applicaties die via internet bereikbaar zijn.

Kom je er niet uit?  Neem gerust contact met ons op. We helpen je graag verder.

Niet elke waarschuwing betekent dat je risico loopt

Veel organisaties zullen ontdekken dat hun belangrijkste systemen helemaal geen PHP gebruiken.

Met deze waarschuwing willen we je vooral helpen om snel te bepalen of je actie moet ondernemen.

Wat doen wij?

Het delaware BeLux National Security Office – Operations Defense-team houdt de situatie nauwlettend in de gaten.

We controleren waar PHP wordt gebruikt binnen de omgevingen die we namens jou beheren of monitoren. Heeft een van jouw systemen extra aandacht nodig? Dan nemen we via je Service Delivery Manager contact met je op.

Zoals altijd voeren we geen wijzigingen door aan je systemen zonder jouw toestemming. Zodra een oplossing is geïmplementeerd, laten we je dat weten.

Wat raden we je aan?

1. Controleer waar je PHP gebruikt

Maak een overzicht van websites, portalen en webapplicaties die op PHP draaien. Begin met de systemen die via internet bereikbaar zijn.

Weet je niet zeker waar PHP wordt gebruikt? Vraag het dan na bij je IT-team, webbureau of hostingprovider.

2. Installeer de juiste beveiligingsupdate en herstart je systeem

Installeer de beveiligingsupdate die beschikbaar is voor jouw PHP-installatie.

Voor PHP zelf zijn de volgende versies beschikbaar waarin de kwetsbaarheden zijn verholpen:

  • PHP 8.5.12

  • PHP 8.4.27

  • PHP 8.3.36

  • PHP 8.2.35

Wordt PHP geleverd via een besturingssysteem, hostingplatform of softwareleverancier? Volg dan de beveiligingsadviezen van die leverancier.

Houd er rekening mee dat je de webserver of applicatie mogelijk opnieuw moet opstarten voordat de update daadwerkelijk actief is.

Tijdelijke maatregelen kunnen het risico verkleinen, maar vervangen de juiste beveiligingsupdate niet.

3. Pak verouderde versies aan

Draait een systeem op een PHP-versie waarvoor officieel geen beveiligingsupdates meer verschijnen?

Plan dan zo snel mogelijk een upgrade, vraag je leverancier of er een beveiligingsoplossing beschikbaar is of beperk tijdelijk de toegang tot het systeem totdat het probleem is opgelost.

4. Neem contact op met je leveranciers

Laat webbureaus, softwareleveranciers en hostingpartners die jouw PHP-applicaties beheren schriftelijk bevestigen dat ze:

  • De juiste beveiligingsupdates hebben geïnstalleerd.

  • Hebben gecontroleerd of er aanwijzingen zijn dat de kwetsbaarheden zijn misbruikt.

5. Blijf alert op verdachte activiteiten

Gedraagt een website zich anders dan normaal? Of zie je sinds 20 oktober, toen de details over de kwetsbaarheden openbaar werden, onbekende bestanden of ongebruikelijke activiteiten op een PHP-webserver?

Neem dan direct contact op met je Service Delivery Manager.

Als er iets verdachts aan de hand is, kan een snelle melding een groot verschil maken.

Veelgestelde vragen

Loopt mijn SAP-systeem risico?

Voor zover bekend zijn de belangrijkste SAP-systemen niet getroffen door deze PHP-kwetsbaarheden.

Het risico zit vooral in websites of applicaties die PHP gebruiken en gekoppeld zijn aan SAP of ernaast draaien.

Weet je niet zeker of zulke applicaties binnen jouw IT-omgeving aanwezig zijn? Neem dan contact met ons op. We helpen je graag om dit te controleren.

We gebruiken alleen Microsoft 365. Moeten we iets doen?

Niet voor Microsoft 365 zelf. Deze dienst wordt door Microsoft beheerd en is voor zover bekend niet getroffen door de PHP-kwetsbaarheden.

Controleer wel of je organisatie daarnaast eigen websites, applicaties of servers gebruikt die op PHP draaien.

Is er al een oplossing beschikbaar?

Ja. Op 21 oktober 2026 heeft het PHP-project bijgewerkte versies uitgebracht.

Sommige leveranciers van besturingssystemen, hostingdiensten en software bieden hun eigen beveiligingsupdates aan.

Beheer je PHP niet zelf? Controleer dan welke updates jouw leverancier adviseert.

Kunnen we ons beschermen zonder te updaten?

Tijdelijke maatregelen kunnen het risico verkleinen, maar bieden niet dezelfde bescherming als de juiste beveiligingsupdate.

Bovendien kunnen zulke maatregelen ervoor zorgen dat je website niet meer goed werkt.

Het installeren van de beveiligingsupdate blijft daarom de aanbevolen oplossing.

Met wie kan ik contact opnemen als ik vragen heb?

Heb je vragen? Neem dan contact op met ons National Security Office via nso_belux@delaware.pro.

Gaat je vraag over diensten die wij voor je beheren? Dan kun je ook terecht bij je Service Delivery Manager.

Vragen? We helpen je graag.

Vermoed je dat een van je systemen getroffen is? Laat het ons dan direct weten.

Heb je andere vragen of maak je je ergens zorgen over? Neem gerust contact met ons op.

Vul het formulier hiernaast in en we nemen zo snel mogelijk contact met je op.

Meer informatie

  • Beveiligingsaankondiging van het PHP-project (php.net)

  • CERT-EU Security Advisory 2026-018 (cert.europa.eu)

  • UK National Cyber Security Centre (ncsc.gov.uk)

  • Nationaal Cyber Security Centrum Nederland (community.ncsc.nl)