Kerngegevens
- Leverancier
- PHP
- Product
- PHP
- Soort software
- basissoftware
- Getroffen versies
- PHP 8.2.0 tot 8.2.35, 8.3.0 tot 8.3.36, 8.4.0 tot 8.4.27, 8.5.0 tot 8.5.12 (8.1 en ouder: niet meer ondersteund, geen fix)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
- CVE gepubliceerd
- 21 oktober 2026
- Gepubliceerd op LekkenRadar
- 21 oktober 2026
- Laatst gewijzigd bij NVD
- 21 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
PHP bewaart tijdelijk globale gegevens die naar het geheugen van een binnenkomend verzoek wijzen. Soms worden die gegevens niet goed gewist, of na het wissen opnieuw gevuld. Ze wijzen dan nog naar geheugen dat al is vrijgegeven. Een volgend verzoek kan die verouderde gegevens lezen voordat alles is ingesteld, en dat kan leiden tot het op afstand uitvoeren van code.
Wie loopt risico?
Je loopt risico als je een webserver of applicatie draait op PHP ouder dan 8.2.35, 8.3.36, 8.4.27 of 8.5.12, afhankelijk van je reeks. PHP 8.1 en ouder worden niet meer ondersteund en krijgen geen fix van PHP. De aanval kan via het netwerk zonder inloggen, al zijn er volgens de beoordeling bepaalde omstandigheden nodig. Het lek staat nog niet op de KEV-lijst van actief misbruikte lekken.
Wat moet je doen?
Controleer je PHP-versie
Kijk na welke PHP-versie op je servers, in je containers en in je hostingpakket draait. Gebruik je PHP van je Linux-distributie, kijk dan naar het pakketadvies: de fix wordt vaak toegepast zonder dat het versienummer verandert.
Werk PHP bij
Update naar een opgeloste versie: 8.2.35, 8.3.36, 8.4.27 of 8.5.12, afhankelijk van de reeks die je gebruikt. Start daarna de webserver of PHP-FPM opnieuw, zodat de nieuwe versie echt actief is.
Vervang PHP 8.1 en ouder
Voor PHP 8.1 en ouder komt geen fix. Stap over op een ondersteunde reeks, of beperk tot die tijd de toegang tot de site vanaf internet.
Lees het advies van de leverancier
Het advies van PHP op GitHub bevat de details. Volgens PHP is bijwerken de enige volledige oplossing; instellingen in php.ini dichten het lek niet helemaal.
Dezelfde update lost meer lekken op
Dezelfde PHP-update verhelpt ook een geheugenfout bij out-of-memory (CVE-2026-109618, https://lekkenradar.nl/cve/cve-2026-109618/). Achtergrond en advies over beide lekken: https://lekkenradar.nl/php2shell-kritieke-php-lekken-oktober-2026/
Let op: PHP 8.1 krijgt sinds 31 december 2025 geen updates meer. Stap over naar PHP 8.5 of nieuwer. Bekijk bij Producten zonder updates
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
PHP gebruikt globale variabelen die tijdelijk verwijzen naar geheugen dat bij een verzoek hoort. In sommige situaties wordt deze globale status niet correct teruggezet, of na het terugzetten opnieuw gevuld. Daardoor kan de status verwijzen naar geheugen dat al is vrijgegeven, een use-after-free. Een volgend verzoek kan die verouderde status lezen of erop vertakken voordat de initialisatie klaar is. Volgens de leverancier zijn er meerdere manieren om dit te benutten, met uitvoering van code op afstand als gevolg. De CVSS 4.0-score is 9,2, met een hoge aanvalscomplexiteit en vereiste aanvalsvoorwaarden.
CVSS-vector (versie 4.0, basisscore 9,2, bron: CNA)
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-416 · Gebruik van geheugen na vrijgave (use-after-free)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 100,0%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Hoog · Schade: HoogBekijk advies