PHP-lekken
Twee kritieke beveiligingslekken in PHP, opgelost op 21 oktober 2026. Hier vind je de beoordeling, de fixversies en de bronnen.
Volgens de advisories van het PHP-project treffen beide lekken de branches 8.2, 8.3, 8.4 en 8.5. Het PHP-project beoordeelt beide als kritiek en noemt de update naar een gecorrigeerde versie als enige volledige oplossing. Deze pagina beschrijft de lekken bewust alleen in algemene termen.
Code-uitvoering na afbreken door geheugentekort (OOM)
Bij geheugentekort kon PHP een verzoek in een gedeeltelijk geïnitialiseerde toestand achterlaten, die bij het opruimen verder werd verwerkt (use-after-free). Volgens de advisory is code-uitvoering op afstand zonder aanmelding mogelijk.
Code-uitvoering door verouderde globale toestand
In langlevende workerprocessen werd verzoekgebonden globale toestand niet teruggezet voordat het geheugen van het verzoek werd vrijgegeven (use-after-free). Een later verzoek aan dezelfde worker kon daar toegang toe krijgen.
| Branch | Fix inbegrepen |
|---|---|
| PHP 8.2 | vanaf 8.2.35 |
| PHP 8.3 | vanaf 8.3.36 |
| PHP 8.4 | vanaf 8.4.27 |
| PHP 8.5 | vanaf 8.5.12 |
Er wordt altijd binnen de betreffende branch vergeleken: 8.3.35 ligt onder de fixversie, 8.4.27 bereikt die. Eén enkele globale minimumwaarde zou onjuist zijn.
PHP 8.1 en oudere branches krijgen van het PHP-project geen updates meer. Volgens php.net eindigt de ondersteuning van PHP 8.2 op 31-12-2026.
De advisories beschrijven gevolgen voor meerdere serverinterfaces, waaronder de Apache-module, PHP-FPM, LSAPI en FrankenPHP – met in verschillende mate bevestigde aanvalsroutes. PHP-FPM is dus niet zonder meer uitgezonderd. Werk alle PHP-runtimes bij die je website uitvoeren en herstart ze na de update.
Distributies kunnen correcties overnemen in oudere pakketversies. Of dat voor jouw pakket geldt, blijkt alleen uit de beveiligingsmelding van de betreffende leverancier voor precies deze pakketversie en beide CVE-ID’s. Zolang zo’n bewijs ontbreekt, beoordeelt PHP Checker oudere basisversies met leveranciersrevisie als ‘Controle bij leverancier vereist’.
Zo werk je PHP bij – stap voor stap
Referentiestand: inhoudelijk gecontroleerd op 21 oktober 2026 · dataversie 2026-10-21.1. De referentiestand wordt alleen bijgewerkt na een daadwerkelijke inhoudelijke controle van de bronnen.