Kritieke lekken in PHP zetten dreigingsniveau in Slovenië op hoog

De PHP Foundation, de organisatie achter de programmeertaal PHP, bracht volgens SI-CERT en CERT-EU op 21 oktober 2026 updates uit voor twee kritieke kwetsbaarheden. Volgens het Sloveense computer-noodteam SI-CERT verschenen de updates rond 16.00 uur. CERT-EU, het cybersecurityteam van de EU-instellingen, noemt 15.30 uur Midden-Europese tijd. De patches zitten in de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens SI-CERT en CERT-EU zijn de twee kwetsbaarheden geregistreerd als CVE-2026-109618 en CVE-2026-109619. Onderzoekers hadden de lekken eerder ontdekt. Zonder de update kan een aanvaller zonder inloggegevens op afstand schadelijke code uitvoeren. Die code draait dan met de rechten van de webserver zelf. PHP vormt de basis van een groot deel van het internet. Websites gebruiken de taal om pagina’s op te bouwen aan de kant van de server, nog voordat een bezoeker ze in de browser ziet. Volgens SI-CERT en CERT-EU kenden beveiligingsonderzoekers de kwetsbaarheden een CVSS-score van 9,2 toe, op een schaal tot 10. Dat duidt op een kritiek risico: kwaadwillenden kunnen zonder voorafgaande authenticatie op afstand code uitvoeren.

Het Sloveense overheidsbureau voor informatieveiligheid, het Urad za informacijsko varnost, verhoogde het cyberdreigingsniveau in Slovenië naar hoog. Dat gebeurde na het bekend worden van de PHP-lekken. Volgens het Urad za informacijsko varnost geldt die verhoogde inschatting voor organisaties in 18 sectoren die onder de Sloveense wet op informatieveiligheid vallen. Die wet is van kracht sinds juni 2025. De verhoogde inschatting blijft gelden tot het bureau ze intrekt. Die wet verplicht banken, energiebedrijven, ziekenhuizen, vervoersbedrijven en andere organisaties in kritieke sectoren om hun digitale systemen te beveiligen. Ze moeten ook kwetsbaarheden verhelpen en ernstige incidenten melden bij de toezichthouder.

Verschillende landen haalden uit voorzorg websites offline toen de PHP-lekken bekend werden. In Frankrijk gingen sites van lokale overheden en van de Parijse politieprefectuur plat. In Nederland gingen DigiD, de inlogmethode voor overheidsdiensten, de parlementswebsite en de site van het nationaal cybersecuritycentrum tijdelijk uit de lucht. In België werden websites van het ministerie van Buitenlandse Zaken tijdelijk ontoegankelijk gemaakt. Het academische en onderzoeksnetwerk Arnes voorziet Sloveense universiteiten en onderzoeksinstellingen van internettoegang. Arnes waarschuwde dat door de kwetsbaarheden sommige van zijn diensten tijdelijk niet bereikbaar konden zijn.

Volgens de NSA, de Amerikaanse veiligheidsdienst, moesten organisaties de updates onmiddellijk installeren. Konden ze dat niet, dan moesten ze de kwetsbare systemen tijdelijk van het netwerk afkoppelen. Berichtgeving koppelt het blootleggen van de kwetsbaarheden aan onderzoek waarbij kunstmatige intelligentie van OpenAI werd ingezet. Het securitybedrijf Wiz, dat zwakke plekken in clouddiensten en bedrijfssoftware opspoort, vond volgens die berichtgeving bijkomende manieren om de fouten te misbruiken. Daarmee onderstreepte Wiz de ernst van de kwetsbaarheden.

SI-CERT en CERT-EU houden hun advies overeind. Organisaties moeten de beschikbare updates zo snel mogelijk installeren. Dat is volgens beide instanties de enige maatregel die de kwetsbaarheden volledig wegneemt. Tijdelijke configuratieaanpassingen verkleinen het risico slechts. Voor wie in Slovenië een eigen website of webwinkel op PHP laat draaien, geldt dat advies net zo goed als voor een grote overheidsinstantie. De update installeren is de enige manier om zeker te zijn dat het lek dicht is.