Kritieke PHP-kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619): zo beschermt u uw Bare Metal-servers en VPS

Het PHP-project heeft op 21 oktober 2026 belangrijke patches gepubliceerd voor twee kritieke kwetsbaarheden. Draait PHP op een van uw Bare Metal dedicated servers of VPS? Hieronder leest u stap voor stap hoe u controleert of u kwetsbaar bent en hoe u zich beschermt.

Dit blogartikel is bedoeld voor onze klanten met dedicated servers en VPS. Klanten van Web Cloud en shared hosting krijgen automatisch een bijgewerkte PHP-component.

De belangrijkste punten in één oogopslag

Wat er aan de hand is, eenvoudig uitgelegd

Beide kwetsbaarheden zitten in de kern van PHP, niet in een specifiek CMS of framework. Ze hebben betrekking op de manier waarop PHP zijn geheugen beheert tussen twee verzoeken:

• CVE-2026-109618: een opzettelijk te zwaar verzoek (bijvoorbeeld het verzenden van een formulier) zorgt ervoor dat PHP zijn geheugen uitput en gegevens in een inconsistente toestand achterlaat.
• CVE-2026-109619: informatie uit een vorig verzoek blijft in het geheugen staan terwijl die gewist zou moeten worden, en wordt door het volgende verzoek hergebruikt.

In beide gevallen kan een aanvaller zijn eigen code op uw server uitvoeren, met de rechten van uw webserver. Hij heeft daarvoor geen account of wachtwoord nodig: een verbinding met uw website is voldoende. Onderzoekers hebben aangetoond dat de kwetsbaarheden te misbruiken zijn, met name met Apache (mod_php) en PHP-FPM, de twee meest gebruikte configuraties.

Bent u kwetsbaar? Controleer het in twee minuten

U loopt met name risico als PHP een website of applicatie aanbiedt op een van uw Bare Metal-servers (Kimsufi, So you Start, Rise, Advance, Scale, High Grade) of op een OVHcloud VPS.

Maak verbinding via SSH en typ:

php -v

Vergelijk het resultaat met deze tabel:

Goed om te weten: de versie die op de opdrachtregel wordt weergegeven, kan verschillen van de versie die uw website gebruikt, vooral als er meerdere PHP-versies zijn geïnstalleerd. Controleer bij twijfel ook de versie in de configuratie van uw webserver of uw beheerpaneel (Plesk, cPanel…).

Stap voor stap bijwerken

De update zou per server niet meer dan een kwartier in beslag moeten nemen. Wij raden u aan eerst de servers aan te pakken die vanaf internet bereikbaar zijn.

Maak een back-up. Op een VPS volstaat een snapshot vanuit het OVHcloud Control Panel. Op een Bare Metal-server maakt u minimaal een back-up van uw configuratiebestanden en uw gegevens.

Werk de PHP-pakketten bij met de pakketbeheerder van uw distributie:

• Debian / Ubuntu: sudo apt update && sudo apt upgrade
• AlmaLinux / Rocky Linux: sudo dnf upgrade
• PHP gecompileerd vanuit de broncode: download de gecorrigeerde versie op php.net
• Docker-containers: bouw uw images opnieuw op basis van een bijgewerkte PHP-image en deploy ze opnieuw

Herstart uw PHP-services. Dit is de stap die het vaakst wordt vergeten: zonder herstart blijft de oude versie in het geheugen draaien.

• PHP-FPM: sudo systemctl restart php8.x-fpm (Debian/Ubuntu, vervang x door uw versie) of sudo systemctl restart php-fpm
• Apache: sudo systemctl restart apache2 of sudo systemctl restart httpd

Controleer met php -v of de gecorrigeerde versie actief is en of uw website normaal werkt.

Biedt uw distributie de gecorrigeerde versie nog niet aan? Kijk dan regelmatig opnieuw: sommige repository’s publiceren updates met enkele uren vertraging. Pas in de tussentijd de onderstaande tijdelijke maatregelen toe.

Kunt u niet meteen bijwerken?

Het PHP-project is duidelijk: alleen de update beschermt uw server volledig. De volgende instellingen, afkomstig uit de officiële beveiligingsadviezen, verkleinen het risico in de tussentijd. U plaatst ze in uw php.ini, waarna PHP-FPM of Apache opnieuw moet worden gestart.

• Schakel het bijhouden van de voortgang van bestandsuploads uit: session.upload_progress.enabled = 0. Deze functie wordt zelden gebruikt en PHP raadt aan haar ook na de update uitgeschakeld te laten.
• Alleen op PHP 8.5: fatal_error_backtraces = 0.
• Gebruikt uw applicatie geen formulieren met bestandsuploads? Blokkeer dan dit type verzoeken (multipart) op het niveau van uw webserver of proxy.

PHP noemt ook het opheffen van de geheugenlimiet (memory_limit = -1). Wij raden u aan hier voorzichtig mee om te gaan: één enkel verzoek zou dan al het geheugen van uw server kunnen verbruiken.

Gebruikt u nog PHP 8.1 of ouder? Deze versies krijgen geen patch. Pas deze maatregelen vandaag nog toe en plan zo snel mogelijk een migratie naar PHP 8.4 of 8.5.

Wij staan voor u klaar

Op een Bare Metal-server of VPS houdt u volledige controle over uw systeem: wij komen op geen enkele manier aan uw instances zonder uw toestemming. Daarom willen wij u alle middelen geven om snel en met een gerust hart te handelen.

Van onze kant werken wij de OS-images bij die beschikbaar zijn voor installatie en waarschuwen wij klanten van wie de instances kwetsbaar lijken. Wij vullen dit artikel aan zodra er nieuwe informatie wordt gepubliceerd.

Heeft u een vraag of twijfelt u over uw configuratie? Onze supportteams staan voor u klaar, en onze partners kunnen u begeleiden bij het bijwerken of migreren van uw PHP-versies.

Meer informatie

• Officiële aankondiging van PHP en download van de gecorrigeerde versies
• Beveiligingsadvies CVE-2026-109618
• Beveiligingsadvies CVE-2026-109619
• Ondersteunde PHP-versies