Twee kritieke kwetsbaarheden in PHP: correcties uitgerold bij all2all
Het PHP-project heeft op 21 oktober 2026 correcties uitgebracht voor twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Deze kunnen uitvoering van code op afstand zonder aanmelding mogelijk maken.
all2all heeft de beveiligingsupdates onmiddellijk na hun publicatie, kort na 16.00 uur Brusselse tijd, op al zijn webhostingservers geïnstalleerd. Recente PHP-versies kregen de nieuwe gecorrigeerde releases; oudere versies die op onze servers worden gebruikt, kregen eveneens teruggeporteerde beveiligingscorrecties.
Deze ingreep verandert de voor elke website gekozen hoofdversie van PHP niet.
Ook oudere PHP-versies hebben de correcties ontvangen
De updates gelden ook voor oudere PHP-versies die nog op onze hosting worden gebruikt. Via pakketten uit de Sury-pakketbron krijgen deze versies teruggeporteerde beveiligingscorrecties, ook wel backports genoemd.
Bij een backport wordt een correctie aangepast aan een oudere PHP-versietak, zonder een overstap naar een nieuwe hoofdversie te vereisen. Zo wordt de kwetsbaarheid verholpen en blijft de compatibiliteit met bestaande websites zoveel mogelijk behouden.
Waarom lijkt het versienummer ongewijzigd?
Bij deze oudere versietakken kan het PHP-versienummer gelijk blijven: PHP 5.6.40 blijft bijvoorbeeld PHP 5.6.40. De pakketrevisie, aangegeven na het koppelteken, verandert om de nieuwe pakketuitgave met de correcties aan te duiden. Het gaat dus niet om een nieuwe minorversie van PHP.
Bij recentere versietakken verandert ook het PHP-patchnummer: PHP 8.2 wordt bijvoorbeeld bijgewerkt naar 8.2.35. In alle gevallen blijft de voor elke website gekozen PHP-versietak behouden.
Geïnstalleerde versies en gecorrigeerde pakketten
De onderstaande tabel bevat alle PHP-versietakken die na de uitrol op 21 oktober 2026 op onze infrastructuur zijn aangetroffen. De wijzigingslogboeken vermelden expliciet de correcties voor CVE-2026-109618 en CVE-2026-109619.
| PHP-versietak | Geïnstalleerde PHP-versie | Gecorrigeerd Sury-pakket (ingekort) |
|---|---|---|
| PHP 5.6 | 5.6.40 |
5.6.40-104… |
| PHP 7.0 | 7.0.33 |
7.0.33-92… |
| PHP 7.1 | 7.1.33 |
7.1.33-80… |
| PHP 7.2 | 7.2.34 |
7.2.34-66… |
| PHP 7.3 | 7.3.33 |
7.3.33-35… |
| PHP 7.4 | 7.4.33 |
7.4.33-31… |
| PHP 8.0 | 8.0.30 |
8.0.30-25… |
| PHP 8.1 | 8.1.34 |
8.1.34-9… |
| PHP 8.2 | 8.2.35 |
8.2.35-1… |
| PHP 8.3 | 8.3.36 |
8.3.36-1… |
| PHP 8.4 | 8.4.27 |
8.4.27-1… |
| PHP 8.5 | 8.5.12 |
8.5.12-1… |
De pakketnamen zijn ingekort: het volledige achtervoegsel vermeldt onder meer de bouwdatum en de Debian-distributie. Ook het technische Debian-voorvoegsel 1:, dat bij sommige pakketten voorkomt, is in de tabel weggelaten.
Een hulpmiddel dat alleen “PHP 5.6.40” of “PHP 7.4.33” toont, kan dus niet aangeven of deze correcties zijn geïnstalleerd: ook de volledige pakketrevisie moet worden gecontroleerd.
Deze backports herstellen niet de officiële ondersteuning van oudere versietakken door het PHP-project. Ze beschermen tegen de kwetsbaarheden waarvoor de correcties zijn gemaakt; een overstap naar een officieel onderhouden PHP-versietak blijft wenselijk.