-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in PHP
Advisory ID     : NCSC-2026-0443
Versie          : 1.00
Kans            : high
CVE ID          : CVE-2026-109618, CVE-2026-109619
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Use After Free
Uitgiftedatum   : 20261021
Toepassing      : Open Source Open Source PHP
                  PHP PHP
Versie(s)       :
Platform(s)     :

Beschrijving
   PHP heeft twee kritieke kwetsbaarheden verholpen. De kwetsbaarheden
   kunnen zonder authenticatie op afstand worden misbruikt voor het
   uitvoeren van willekeurige code. Alle PHP-installaties die
   webverzoeken verwerken zijn getroffen.

   De kwetsbaarheid met kenmerk CVE-2026-109618 betreft
   geheugenbeschadiging bij de afhandeling van een Out-of-Memory-
   situatie. Hierdoor kunnen interne requestgegevens slechts
   gedeeltelijk worden geïnitialiseerd en tijdens de verwerking als
   geldige gegevens worden behandeld, wat kan leiden tot Remote Code
   Execution.
   De kwetsbaarheid met kenmerk CVE-2026-109619 betreft het
   achterblijven van interne globale status nadat het bijbehorende
   geheugen is vrijgegeven. Een volgend verzoek dat door dezelfde worker
   wordt verwerkt, kan deze verouderde status gebruiken voordat deze
   opnieuw wordt geïnitialiseerd, wat eveneens kan leiden tot Remote
   Code Execution.
   Beide kwetsbaarheden kunnen zonder authenticatie via webverzoeken
   worden misbruikt en kunnen leiden tot het uitvoeren van willekeurige
   code op de getroffen server. Het PHP-team adviseert alle gebruikers
   dringend om onmiddellijk te updaten. Het NCSC adviseert daarom de
   beveiligingsupdates met spoed toe te passen.

Mogelijke oplossingen
   Upgrade naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Gebruikers van
   Linux-distributies en LTS-versies wordt geadviseerd de door hun
   leverancier beschikbaar gestelde beveiligingsupdates toe te passen.
   PHP 8.1 en ouder worden niet meer regulier door het PHP-project
   ondersteund. Voor PHP 7.4, 8.0 en 8.1 heeft het PHP-team vanwege de
   ernst van de kwetsbaarheden wel minimale broncodepatches beschikbaar
   gesteld.
   Wanneer direct updaten niet mogelijk is, zijn tijdelijke mitigerende
   maatregelen beschikbaar voor beide kwetsbaarheden. Het PHP-team
   benadrukt dat deze maatregelen slechts specifieke aanvalspaden
   beperken en geen volledige oplossing vormen. Alleen het installeren
   van een beveiligingsupdate verhelpt de kwetsbaarheden volledig.
   PHP heeft updates uitgebracht om deze kwetsbaarheden te verhelpen.
   Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://github.com/php/php-
      src/security/advisories/GHSA-6wmf-4rv5-p3rp

      Reference
      https://github.com/php/php-
      src/security/advisories/GHSA-w8hw-w9fx-j79w

      Reference
      https://www.php.net/

      Reference
      https://www.php.net/downloads.php?source=Y

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=WiAO
-----END PGP SIGNATURE-----