Wat is er aan de hand?
PHP is een veelzijdige scriptingtaal die dynamische webpagina's kan aanmaken. 69,3 procent van alle websites wereldwijd gebruikt die scriptingtaal. PHP vormt de basis voor het veelgebruikte WordPress en zit ook in Joomla, Drupal, Magento en andere websoftware.
De PHP-ontwikkelaars waren van plan hun patches donderdag uit te brengen, maar informatie over de kwetsbaarheden lekte afgelopen nacht uit. Het ontwikkelteam komt om 16.00 uur met meer informatie en verwacht dan ook de patches uit te brengen. Naast Industrial IT zijn onder meer Tweakers, RTL Nieuws, Mijnoverheid.nl, DigiD en de website van de Tweede Kamer uit voorzorg offline gegaan.
Websites overnemen
De twee kritieke kwetsbaarheden in PHP (CVE-2026-109618 en CVE-2026-109619) hebben een score van 9,2 op de CVSS v4.0-schaal, die tot 10 gaat. Dat hoge cijfer is gebaseerd op de ernst van een kwetsbaarheid en op hoe makkelijk aanvallers die kunnen misbruiken. De kwetsbaarheden zouden al sinds versie 5.4.0 in PHP zitten, die in maart 2012 uitkwam. Aanvallers kunnen door de kwetsbaarheden eigen webpagina's publiceren. Daardoor kunnen zij mogelijk malware verspreiden. Daarnaast zou de zogeheten PHP2Shell-exploit het mogelijk maken om eigen code uit te voeren op kwetsbare servers.
Tijdelijk offline
Omdat er op dit moment nog geen security patch beschikbaar is zijn de diensten van Industrial IT tijdelijk niet beschikbaar. We doen ons uiterste best om zo snel mogelijk weer de dienstvelening te kunnen hervatten. Maar dat doen we alleen als dit op een veilige wijze kan. Probeer het later nog eens om deze website te benaderen. Je ziet dan vanzelf of de dienst weer werkt.