De makers van PHP waarschuwen website- en softwarebeheerders voor twee ernstige kwetsbaarheden in PHP. Het gaat om remote code execution-bugs die eenvoudig kunnen worden uitgebuit. PHP wil zelf later op woensdag details naar buiten brengen, maar er lijkt inmiddels een proof-of-concept openbaar beschikbaar te zijn.

De makers van PHP waarschuwen zelf voor een komende beveiligingsrelease die twee ernstige kwetsbaarheden verhelpt. Het gaat om bugs met een score van 9.2 op het Common Vulnerability Scoring System (CVSS). CVSS-scores lopen van 1 tot 10 en geven aan hoe groot de impact van een bug is en hoe makkelijk het is die uit te buiten. PHP wil om 16.00 uur Nederlandse tijd meer details bekendmaken.

Aanvankelijk wilde PHP de bugs op donderdag bekendmaken. Eerder deze week lekte echter al informatie over de bugfixes uit op Hacker News, in een post die inmiddels verwijderd is. PHP besloot daarop de bugs eerder bekend te maken.

Proof of concept

Inmiddels is echter wel iets meer duidelijk over de bugs. Beveiligingsonderzoekers van Watchtowr zeggen dat het om de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 gaat. Officieel zijn er nog geen technische details bekend, maar er gaat inmiddels wel een proof of concept rond waarin te zien is hoe een aanvaller de loginfunctionaliteit op websites met contentmanagementsystemen (cms'en) als Joomla en WordPress omzeilt. Ook kan de aanvaller het wachtwoord uit een Symfony-framework achterhalen.

PHP2Shell

De proof-of-conceptvideo noemt de bug PHP2Shell en laat zien dat hij met slechts een eenvoudig Python-script en zonder veel verdere tussenstappen werkt. De bug is ook ernstig doordat PHP in veel applicaties wordt gebruikt, zoals cms-tools.

Mogelijk zijn ook veel PHP-versies kwetsbaar. Volgens Watchtowr zitten de bugs in alle versies sinds PHP 5.

Beheerders doen er volgens Watchtowr en andere beveiligingsbedrijven goed aan te inventariseren welke versies van PHP ze in welke applicaties gebruiken. Ze zouden daarnaast een plan moeten maken voor een snelle upgrade later op de dag, als PHP met een officiële patch komt.

Bron: Tweakers.net