Er blijkt nog een derde geheugenkwetsbaarheid in PHP te zitten, maar beheerders van de programmeertaal zien geen reden tot paniek. Een patch komt bij de volgende release.
Het zijn drukke dagen voor het beveiligingsteam achter de programmeertaal PHP. Twee kwetsbaarheden zorgden vorige week voor globale paniek, maar er blijkt ook nog een derde kwetsbaarheid te zijn. Hierover deelde PHP vrijdag meer informatie. Er is geen reden tot paniek volgens PHP.
De derde kwetsbaarheid, getrackt als CVE-2026-115560, heeft eveneens te maken met het geheugen. Volgens PHP is deze kwetsbaarheid echter veel minder gevaarlijk en is een noodpatch zoals vorige week niet nodig. Uitbuiting kan enkel ‘door een uitzonderlijke combinatie van configuraties en code’, schrijft PHP in het beveiligingsadvies.
Een patch voor de kwetsbaarheid zal dus pas met de volgende release worden uitgerold. Tot die tijd moet je volgens PHP enkel controleren of de specifieke instelling session.upload_progress.enabled op ‘0’ staat, en in dat geval er vooral afblijven. Dezelfde mitigatie werd ook bij de vorige kwetsbaarheden geadviseerd voor de patch beschikbaar kwam.
PHPShell zindert na
Ondertussen blijft het afwachten welke impact de ‘PHP2Shell’-kwetsbaarheden zullen hebben. Het potentiële aanvalsoppervlakte is groot: er wordt geschat dat ongeveer 70 procent van alle internetwebsite PHP-code gebruikt. Daarom hoeven al die websites nog niet per definitie kwetsbare of via het internet beschikbare instances te hebben.
De kwetsbaarheden zouden wel voor de uitrol van de patch al zijn verkend en/of uitgebuit zijn geweest. Volgens Amazon zelfs al vanaf vier dagen voor de release van de patch. Het beveiligingsbedrijf Chainguard deelde op eigen houtje meer informatie, waar PHP niet mee opgezet was. De organisatie achter de programmeertaal krijgt zelf ook kritiek, omdat het van minstens één kwetsbaarheid al sinds 2024 op de hoogte was.
Grote incidenten blijven tot nu toe uit en we kunnen maar hopen dat dat zo blijft. Enkele onafhankelijke onderzoekers beweren dat de noodpatch van PHP onvolledig is om het gevaar helemaal in de kiem te smoren. Daar gaat PHP niet mee akkoord. De race begint ook pas echt op het moment dat een patch beschikbaar is, want beheerders moeten die tijdig installeren.