PHP waarschuwt voor twee ernstige bugs die makkelijk uit te buiten lijken

In dit artikel:

PHP brengt woensdag een beveiligingsupdate uit voor twee kwetsbaarheden waarmee aanvallers op afstand code kunnen uitvoeren. De fouten hebben een CVSS-score van 9,2. Aanvankelijk zouden de details donderdag verschijnen, maar na een vroegtijdig lek op Hacker News is de bekendmaking vervroegd; PHP zou om 16.00 uur Nederlandse tijd meer informatie geven.

Onderzoekers van Watchtowr koppelen de problemen aan CVE-2026-109618 en CVE-2026-109619. Hoewel technische informatie nog ontbreekt, circuleert al een proof of concept. Daarin wordt met een eenvoudig Python-script de loginbeveiliging van onder meer WordPress- en Joomla-sites omzeild en kan een Symfony-wachtwoord worden achterhaald. De kwetsbaarheden zouden volgens Watchtowr aanwezig zijn in alle PHP-versies vanaf versie 5. Beheerders wordt aangeraden hun PHP-gebruik te inventariseren en een snelle upgrade voor te bereiden zodra de patch beschikbaar is.