PHP: software-update naar 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12

Samenvatting

PHP krijgt updates 8.2.35, 8.3.36, 8.4.27 en 8.5.12 om twee kritieke RCE-kwetsbaarheden te dichten.

PHP-updates verhelpen twee kritieke kwetsbaarheden

Het PHP-project heeft updates uitgebracht voor PHP 8.2, 8.3, 8.4 en 8.5. De versies 8.2.35, 8.3.36, 8.4.27 en 8.5.12 verhelpen twee beveiligingsproblemen waarmee een aanvaller zonder authenticatie code op afstand kan uitvoeren.

De kwetsbaarheden dragen de identificaties CVE-2026-109618 en CVE-2026-109619. De eerste ontstaat door fouten in de verwerking van een out-of-memory-situatie. De tweede gebruikt interne status die na het vrijgeven van geheugen kan achterblijven bij een volgende aanvraag.

PHP-beveiliging raakt webserveromgevingen

Het risico geldt voor PHP-installaties die webverzoeken verwerken. Daaronder vallen PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. De PHP-ontwikkelaars beoordelen mod_php als de meest risicovolle variant, omdat een aangetoond exploit een aanval kan starten voordat applicatiecode wordt uitgevoerd.

Dat maakt de update relevant voor teams die PHP-websites, portalen of applicaties beheren die met databases samenwerken. De kwetsbaarheid zit in de PHP-runtime en niet in een specifieke applicatie. Een controle van alleen de eigen broncode volstaat daarom niet; ook de serverconfiguratie en gebruikte PHP-versie moeten in beeld zijn.

De release ondersteunt meerdere besturingssystemen, waaronder Linux, BSD, macOS, Solaris en Windows. De patch is daarmee niet beperkt tot één hostingplatform. PHP-gebruikers krijgen het advies onmiddellijk te updaten.

PHP-updates controleren en uitrollen

Inventariseer eerst welke PHP-versies daadwerkelijk webverzoeken afhandelen en via welke uitvoermethode. Controleer daarna of de systemen draaien op 8.2.35, 8.3.36, 8.4.27 of 8.5.12. Besteed extra aandacht aan mod_php en aan processen met PHP-FPM, omdat beide expliciet binnen het beschreven risicogebied vallen.

Plan de update als directe beveiligingsactie, test de applicaties na installatie en leg vast welke servers zijn bijgewerkt. Verouderde PHP-versies zonder deze beveiligingscorrecties horen niet achter publieke webverzoeken te blijven staan.