Vier dagen na de spoedupdate van PHP voor twee kritieke lekken zijn er twee nieuwe ontwikkelingen. Cloudflare meldt dat het aanvalsverkeer heeft gezien tegen websites die achter zijn eigen netwerk draaien, gericht op de lekken, en het beveiligingsteam van PHP bracht op 23 oktober 2026 een vervolgmelding uit over een los probleem. Voor de meeste websites van kleine bedrijven verandert dat weinig aan wat je al moest doen: bijwerken.
Wat er gebeurde
Cloudflare schrijft in een update op zijn blog van 21 oktober 2026 dat het zelf aanvalsverkeer zag gericht tegen websites op zijn netwerk (“we observed attack traffic targeting our customers”), en dat aanvallers de aanval aanpasten om de eigen bescherming te omzeilen. Cloudflare rolde de standaardbescherming voor iedereen die de WAF gebruikt al om 03:02 UTC op 21 oktober 2026 uit, ongeveer negen uur vóór de officiële openbaarmaking van de lekken, staat in dezelfde update.
Het Nationaal Cyber Security Centrum meldde op 21 oktober 2026 om 13:59 uur dat het op dat moment nog geen actief misbruik had gesignaleerd, blijkt uit het nieuwsbericht van de Rijksoverheid van 21 oktober 2026. Het NCSC adviseerde organisaties met een internet-gerichte toepassing op PHP een risico-inschatting te maken en, als bijwerken niet direct kan, het systeem desnoods uit te schakelen. Volgens een tweede bericht van de Rijksoverheid van 21 oktober 2026 haalde de rijksoverheid uit voorzorg een aantal eigen websites offline, nog voordat er signalen van misbruik waren.
Op 23 oktober 2026 publiceerde PHP zelf een informationele vervolgmelding over een los nummer, CVE-2026-115560. Die treedt alleen op bij een ongewone combinatie: een toepassing die session.serialize_handler instelt op php_binary of php_serialize en die vervolgens tijdens het draaien met ini_set() omzet naar php, vóórdat session_start() wordt aangeroepen, terwijl het uploaden van voortgang (session.upload_progress) aanstaat. PHP schrijft zelf dat dit in de praktijk onwaarschijnlijk is en dat een volledige melding volgt bij de volgende reguliere release. Wie na de melding van 21 oktober 2026 al de instelling session.upload_progress.enabled=0 had gezet, hoeft niets extra te doen: dat was al de aanbevolen maatregel in de GHSA-advisory voor CVE-2026-109619.
Wat betekent dit voor jouw website
Heb je na onze melding van 21 oktober 2026 al bijgewerkt naar een van de veilige versies uit de beveiligingsmelding op php.net van 21 oktober 2026 (PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35), dan ben je tegen beide oorspronkelijke lekken en tegen deze vervolgmelding beschermd. Er is voor de meeste kleine bedrijven geen extra actie nodig.
Heb je nog niet bijgewerkt, dan is dat nu urgenter dan op 21 oktober 2026: Cloudflare ziet zelf aanvalsverkeer tegen websites op zijn netwerk, en de kans dat een niet-bijgewerkte server wordt geraakt, neemt toe naarmate het lek langer bekend is. Vraag je host of hosting-provider wanneer de update is doorgevoerd als je dat zelf niet beheert.
Beheer je zelf een server met maatwerk-PHP-code (geen standaard WordPress, Joomla of webwinkel), vraag dan je ontwikkelaar of de code ooit session.serialize_handler tijdens het draaien aanpast. Bij vrijwel alle standaardinstallaties van WordPress, WooCommerce of Joomla komt dit niet voor, dus voor hen is dit geen nieuwe actie.
Wat FWRD hiermee doet
Een FWRD-site draait niet op PHP, zoals we op 21 oktober 2026 al schreven: het platform is gebouwd in TypeScript en Astro. Deze vervolgmelding raakt FWRD-sites dus niet. Wil je weten hoe je eigen site ervoor staat, doe dan de gratis websitecheck.
Wil je weten waar jouw site staat?
Doe de gratis diagnose. Je ziet meteen wat je site nodig heeft om beter gevonden te worden.
Bronnen
- Cloudflare: Cloudflare WAF protects against PHP vulnerabilities, update 21 oktober 2026
- Rijksoverheid: NCSC, ernstige kwetsbaarheden in PHP, 21 oktober 2026
- Rijksoverheid: aantal websites rijksoverheid preventief offline na kwetsbaarheden PHP, 21 oktober 2026
- PHP.net: Informational advisory, Session upload progress, 23 oktober 2026
- GitHub Security Advisories: GHSA-6wmf-4rv5-p3rp voor CVE-2026-109619, gepubliceerd 21 oktober 2026
Geschreven met AI door FWRD. Bronnen en cijfers staan in de tekst gelinkt.