Kerngegevens
- Leverancier
- PHP
- Product
- PHP
- Soort software
- basissoftware
- Getroffen versies
- PHP 8.2.0 tot 8.2.35, 8.3.0 tot 8.3.36, 8.4.0 tot 8.4.27, 8.5.0 tot 8.5.12 (8.1 en ouder: niet meer ondersteund, geen fix)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
- CVE gepubliceerd
- 21 oktober 2026
- Gepubliceerd op LekkenRadar
- 21 oktober 2026
- Laatst gewijzigd bij NVD
- 21 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
PHP stopt een verzoek bij te weinig werkgeheugen (out-of-memory) met een sprong via longjmp(). In sommige onderdelen van PHP blijft het geheugen van dat verzoek dan in een niet-geïnitialiseerde staat achter. De opruimactie die daarna draait, kan dat geheugen lezen of er beslissingen op baseren. Een aanvaller kan dit op meerdere manieren steeds opnieuw uitlokken en daarmee op afstand eigen code laten uitvoeren.
Wie loopt risico?
Je loopt risico als je PHP gebruikt in een versie ouder dan 8.2.35, 8.3.36, 8.4.27 of 8.5.12, afhankelijk van je reeks. PHP 8.1 en ouder worden niet meer ondersteund en krijgen geen fix van PHP. Het gaat vooral om webservers en applicaties die verzoeken van buiten accepteren, zoals WordPress-, Joomla- en Drupal-sites en webwinkels. Volgens de score is de aanval niet eenvoudig, maar de gevolgen zijn groot. Het lek staat nog niet op de KEV-lijst van actief misbruikte lekken.
Wat moet je doen?
Controleer je PHP-versie
Kijk op je server of in je hostingpakket welke PHP-versie draait. Gebruik je PHP van je Linux-distributie (Debian, Ubuntu, Red Hat), kijk dan naar het pakketadvies van de distributie: die passen de fix vaak toe zonder het versienummer te veranderen.
Werk PHP bij en herstart
Installeer 8.2.35, 8.3.36, 8.4.27 of 8.5.12, passend bij je reeks. Herstart daarna PHP-FPM, Apache of LiteSpeed, zodat de nieuwe versie echt actief is.
Vervang PHP 8.1 en ouder
Voor PHP 8.1 en ouder komt geen fix. Stap over op een ondersteunde reeks. Lukt dat niet snel, scherm de site dan af of haal hem tijdelijk offline.
Vraag je hostingpartij om de update
Beheer je PHP niet zelf, vraag dan je hostingaanbieder of beheerder wanneer de opgeloste versie wordt geïnstalleerd. Volgens PHP is bijwerken de enige volledige oplossing.
Dezelfde update lost meer lekken op
Dezelfde PHP-update verhelpt ook een use-after-free in de globale status (CVE-2026-109619, https://lekkenradar.nl/cve/cve-2026-109619/). Achtergrond en advies over beide lekken: https://lekkenradar.nl/php2shell-kritieke-php-lekken-oktober-2026/
Let op: PHP 8.1 krijgt sinds 31 december 2025 geen updates meer. Stap over naar PHP 8.5 of nieuwer. Bekijk bij Producten zonder updates
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
PHP gebruikt longjmp() om bij een out-of-memory-fout de huidige context te verlaten en het verzoek af te breken. Sommige codepaden houden hier geen rekening mee en laten het geheugen van het verzoek niet-geïnitialiseerd achter voordat er een allocatie plaatsvindt. De opruimprocedure aan het einde van het verzoek kan dat geheugen vervolgens lezen of er op vertakken. Het gaat om een geheugenfout van het type use-after-free (CWE-416). Meerdere OOM-strategieën kunnen deze toestand consistent uitlokken, wat kan leiden tot code-uitvoering op afstand. De CVSS 4.0-score is 9,2, met aanvalsroute via het netwerk, hoge aanvalscomplexiteit en zonder inloggegevens of gebruikersinteractie.
CVSS-vector (versie 4.0, basisscore 9,2, bron: CNA)
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-416 · Use-after-free (gebruik van geheugen na vrijgave)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 5,3%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Hoog · Schade: HoogBekijk advies