Direct naar de inhoud
⚡ Kritieke cyberalerts voor jouw sector & systemen — direct in je inbox. Aanmelden →
cybernieuws.nl Cybersecurity en informatiebeveiling nieuws alerts live · 12 min 172 bronnen 2 kritiek 36 vandaag
CVE's Videos Dagbriefing

[DAGBRIEFING]

PHP-kwetsbaarheden leiden tot miljoenen aanvalspogingen; kritieke updates noodzakelijk

46 artikelen verwerkt, 14 volledig gelezen · bijgewerkt om 17:30

De afgelopen dagen zijn er twee kritieke kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) ontdekt in PHP, een veelgebruikte programmeertaal voor websites en webapplicaties. Misbruik van deze kwetsbaarheden kan leiden tot het op afstand overnemen van systemen 1521. Amazon meldt dat de eerste aanvallen die gebruikmaakten van PHP2Shell al op 17 oktober plaatsvonden, vier dagen voordat het bestaan van de lekken openbaar werd gemaakt 28. Deze aanvalspogingen waren afkomstig van een geanonimiseerd IP-adres 28.

Na de publicatie van informatie over de kwetsbaarheden op Hacker News en de daaropvolgende spoedpublicatie van patches door de PHP Foundation op woensdag 21 oktober, is het aantal aanvalspogingen drastisch toegenomen. Cloudflare constateerde duizenden pogingen vóór de openbaarmaking, tienduizenden binnen 45 minuten erna, en miljoenen pogingen binnen enkele uren 325. Het NCSC heeft uit voorzorg zijn website tijdelijk offline gehaald, evenals vele andere organisaties, waaronder overheidsinstanties 31521. Veel websites zijn inmiddels weer online na het installeren van de patches 125.

Hoewel er patches beschikbaar zijn (PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35), waarschuwen cybersecurity-experts dat de gevolgen nog maanden voelbaar zullen zijn 1721. Dit komt doordat veel systemen niet direct zullen updaten en oudere PHP-versies geen officiële beveiligingsupdates meer krijgen 1721. Bovendien kunnen aanvallers al achterdeuren hebben geplaatst, waardoor ze later opnieuw toegang kunnen krijgen, zelfs na het patchen 17. Het NCSC onderzoekt signalen van succesvol misbruik, maar heeft nog geen bevestiging van datalekken ontvangen 1525. Er zijn echter wel Proof of Concepts (PoC's) bekend, wat de urgentie van patchen versterkt 15.

Naast de PHP-kwetsbaarheden zijn er ook twaalf kwetsbaarheden gevonden in GitLab Community Edition (CE) en Enterprise Edition (EE), waarvan één (CVE-2026-110264) een kritieke score van 10,0 heeft 14. Deze kwetsbaarheid maakt het mogelijk voor een aanvaller zonder account om op afstand schadelijke programma's uit te voeren op de GitLab-server 14. Verder is cloudplatform Railway gehackt, waarbij secrets zoals API keys en database-inloggegevens van klanten zijn gestolen 26. Dit incident maakt deel uit van een reeks aanvallen gericht op platformbedrijven die AI-modellen trainen 26. Tot slot is gebleken dat volledig gepatchte Windowscomputers geïnfecteerd kunnen worden met de BlackX-bootkit via een kwetsbaarheid genaamd 'Baton Drop' (CVE-2022-21894), doordat de patch handmatige activering vereist die vaak over het hoofd wordt gezien 30.

Kernpunten

  • Twee kritieke kwetsbaarheden in PHP (CVE-2026-109618 en CVE-2026-109619) leidden tot miljoenen aanvalspogingen na publicatie van patches op 21 oktober 325.
  • De eerste aanvallen op PHP2Shell vonden al plaats op 17 oktober, vier dagen voor de officiële bekendmaking van de kwetsbaarheden 28.
  • Twaalf kwetsbaarheden zijn ontdekt in GitLab CE en EE, waaronder CVE-2026-110264 met een kritieke score van 10,0, die remote code execution mogelijk maakt 14.
  • Cloudplatform Railway is gehackt, waarbij secrets zoals API keys en database-inloggegevens van klanten zijn gestolen 26.
  • Volledig gepatchte Windowscomputers zijn geïnfecteerd met de BlackX-bootkit via de 'Baton Drop' (CVE-2022-21894) kwetsbaarheid, doordat de patch handmatige activering vereist 30.
  • De Autoriteit Consument & Markt (ACM) constateert een toename van phishing en fraude via online platforms voor reizen en accommodaties, waaronder Booking.com 12.

Zorg · NEN 7510

Zorginstellingen die gebruikmaken van PHP voor hun websites of webapplicaties moeten direct de beschikbare beveiligingsupdates installeren en controleren op eerdere inbraken 151721. Daarnaast is het essentieel om bij de keuze van leveranciers van beveiligingsoplossingen grondig te letten op hun cybersecuritymaatregelen en ketenrisico's periodiek te beoordelen 9.

Alle zorgnieuws →

Overheid · BIO / NIS2

Overheidsorganisaties die PHP gebruiken, moeten onmiddellijk patchen en systemen die nog kwetsbaar zijn offline houden totdat de updates zijn doorgevoerd 31521. Het NCSC adviseert om GitLab-installaties te updaten naar gepatchte versies zoals 18.11.13 of hoger om kritieke kwetsbaarheden te verhelpen 14. Ook moeten overheidsorganisaties de handmatige activeringsstappen voor de 'Baton Drop' (CVE-2022-21894) patch uitvoeren om infectie met bootkits te voorkomen 30.

Alle overheidsnieuws →

Risico's

Scenario's, geen voorspellingen — hoe groot de kans is dat het jou treft weeg je zelf.

  • KRI Aanvaller verkrijgt volledige controle over systemen via kritieke kwetsbaarheden in PHP, met verstoring van de dienstverlening en datalekken als gevolg.

    Relevant voor jou als: je organisatie websites of webapplicaties draait die gebruikmaken van PHP en nog niet volledig gepatcht zijn.

  • HOO Aanvaller voert op afstand schadelijke programma's uit via de kritieke kwetsbaarheid CVE-2026-110264 in GitLab CE/EE, met overname van accounts en verlies van vertrouwelijke gegevens als gevolg.

    Relevant voor jou als: je organisatie GitLab Community Edition (CE) of Enterprise Edition (EE) versies 7.0 tot bepaalde 19.x gebruikt en nog niet heeft geüpdatet.

  • HOO Aanvaller verkrijgt toegang tot gevoelige secrets via een hack op het cloudplatform Railway, met misbruik van API keys en database-inloggegevens als gevolg.

    Relevant voor jou als: je organisatie Railway gebruikt voor het uitrollen van webapplicaties en de gestolen secrets nog niet zijn gewijzigd.

  • MID Spionagegroep infecteert Windowscomputers met de BlackX-bootkit via de 'Baton Drop' (CVE-2022-21894) kwetsbaarheid, met vergaande controle over het systeem en cyberpionage als gevolg.

    Relevant voor jou als: je organisatie Windowscomputers gebruikt en de handmatige activeringsstappen voor de 'Baton Drop' patch niet heeft uitgevoerd.

  • MID Fraudeur buit vertrouwen in online platforms uit via gehackte accounts van hotels op Booking.com, met phishingaanvallen en financiële schade bij gasten als gevolg.

    Relevant voor jou als: je organisatie gebruikmaakt van online boekingsplatforms zoals Booking.com en niet voldoende maatregelen neemt tegen accountovernames en phishing.

Aanbevolen acties

  1. Installeer direct de nieuwste PHP-beveiligingsupdates (8.5.12, 8.4.27, 8.3.36 of 8.2.35).
  2. Controleer PHP-systemen op misbruik, teruggaand tot 17 oktober, en zoek naar achterdeuren.
  3. Upgrade GitLab CE/EE naar een gepatchte versie (bijv. 18.11.13) om kritieke kwetsbaarheden te dichten.
  4. Wijzig alle API keys en database-inloggegevens bij gebruik van cloudplatform Railway.