Wat gebeurde er met PHP op 21 oktober 2026?

Het NCSC meldde twee kritieke kwetsbaarheden in PHP: CVE-2026-109618 en CVE-2026-109619. Het NCSC haalde zelf tijdelijk zijn website offline en meerdere organisaties deden hetzelfde uit voorzorg. Dat was een voorzorgsmaatregel — geen bewijs dat al die sites gehackt waren, en niet elke storing die dag kwam door PHP.

Er zijn updates beschikbaar: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 of nieuwer. Linux-distributies kunnen de fix ook in een oudere versie hebben verwerkt (backport). Voor PHP 7.4–8.1 zijn uitzonderlijke broncodefixes verschenen, zonder reguliere ondersteuning.

Goed onderhouden PHP kan prima veilig zijn. Vraag je hoster of websitebouwer welke versie bij jou draait en of de patches zijn toegepast. Deel daarbij nooit wachtwoorden.