Gisteren.
Twee kritieke lekken in PHP.
CVE-2026-109618 en CVE-2026-109619.
Beide CVSS 9.2.
Ongeauthenticeerde remote code execution.
Eén crafted request kon genoeg zijn.
PHP draait onder een groot deel van het web.
WordPress, Magento, Laravel, Drupal, MediaWiki — allemaal.
Schattingen liepen van “meer dan 40 procent” tot “ongeveer 70 procent”.
Exacte meting is er niet.
De impact is er wel.
Wat er gebeurde
Details lekten vroeg.
Cloudflare zag aanvallen voordat de patch er was.
Finland zette overheidsdiensten offline.
Nederland deed hetzelfde met onder meer de site van het NCSC en de Tweede Kamer.
Frankrijk, Japan, delen van het Verenigd Koninkrijk: sites uit, of in de wacht.
De patch kwam woensdagmiddag.
PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Oudere versies krijgen niets meer.
Wie daar nog op draait, blijft open.
Sansec en anderen verwachtten massale aanvallen binnen minuten na de release.
Of dat is gebeurd, en op welke schaal, is nog niet hard geteld.
De race is wel begonnen.
Het punt
Een taal die overal zit, heeft één set gaten.
Die gaten staan jaren open.
De patch is er.
De systemen die niet patchen, blijven de voordeur open hebben.
Dit is geen incident van één bedrijf.
Dit is de infrastructuur zelf.
OIM-uitweg
De OIM-site draait niet op PHP.
GitHub, Jekyll, Liquid, Python, JavaScript.
Statisch waar het kan.
Open source.
Geen gedeelde runtime die één lek over half het internet verspreidt.
Niet omdat het perfect is.
Wel omdat de afhankelijkheid kleiner is.
En de hash erop staat.
Wie de node niet heeft, heeft de brochure.
Wie de runtime deelt met iedereen, deelt ook het lek.
Vraag aan jou
Hoeveel sites die jij vandaag bezocht, draaien nog op de oude versie?
En wie controleert of ze wel of niet gepatcht zijn?
Deze post is 100% authentiek en verifieerbaar via:
https://openinternetmanifest.org/nl/hash-verifier
### RVN: PHP2Shell – de deur stond open
Gisteren.
Twee kritieke lekken in PHP.
CVE-2026-109618 en CVE-2026-109619.
Beide CVSS 9.2.
Ongeauthenticeerde remote code execution.
Eén crafted request kon genoeg zijn.
PHP draait onder een groot deel van het web.
WordPress, Magento, Laravel, Drupal, MediaWiki — allemaal.
Schattingen liepen van “meer dan 40 procent” tot “ongeveer 70 procent”.
Exacte meting is er niet.
De impact is er wel.
### Wat er gebeurde
Details lekten vroeg.
Cloudflare zag aanvallen voordat de patch er was.
Finland zette overheidsdiensten offline.
Nederland deed hetzelfde met onder meer de site van het NCSC en de Tweede Kamer.
Frankrijk, Japan, delen van het Verenigd Koninkrijk: sites uit, of in de wacht.
De patch kwam woensdagmiddag.
PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Oudere versies krijgen niets meer.
Wie daar nog op draait, blijft open.
Sansec en anderen verwachtten massale aanvallen binnen minuten na de release.
Of dat is gebeurd, en op welke schaal, is nog niet hard geteld.
De race is wel begonnen.
### Het punt
Een taal die overal zit, heeft één set gaten.
Die gaten staan jaren open.
De patch is er.
De systemen die niet patchen, blijven de voordeur open hebben.
Dit is geen incident van één bedrijf.
Dit is de infrastructuur zelf.
### OIM-uitweg
De OIM-site draait niet op PHP.
GitHub, Jekyll, Liquid, Python, JavaScript.
Statisch waar het kan.
Open source.
Geen gedeelde runtime die één lek over half het internet verspreidt.
Niet omdat het perfect is.
Wel omdat de afhankelijkheid kleiner is.
En de hash erop staat.
Wie de node niet heeft, heeft de brochure.
Wie de runtime deelt met iedereen, deelt ook het lek.
**Vraag aan jou**
Hoeveel sites die jij vandaag bezocht, draaien nog op de oude versie?
En wie controleert of ze wel of niet gepatcht zijn?
#PHP #PHP2Shell #CVE #Security #OIM #RealityVsNarrative #RVN #OpenInternetManifest
https://openinternetmanifest.org
Deze post is 100% authentiek en verifieerbaar via:
https://openinternetmanifest.org/nl/hash-verifier
Deel dit bericht
Korte versie: Teaser voor X Raw Markdown: Exacte originele tekst (voor verifier) Unicode: Mooie opmaak voor Facebook / andere platforms
Reacties
Wil je reageren? Log in met GitHub.
Lezen kan altijd, ook zonder account.
💸 Ondersteun het Open Internet Manifest ❤️
Dit manifest blijft alleen bestaan dankzij jullie donaties.
Elke satoshi of monero helpt enorm (servers, domeinen, ontwikkeling).
Reacties
Wil je reageren? Log in met GitHub.
Lezen kan altijd, ook zonder account.