CVE-2026-109618 en CVE-2026-109619
Via twee nieuwe lekken in PHP 8.2 tot en met 8.5 kunnen aanvallers zonder in te loggen eigen code op uw shopserver uitvoeren en bij klantgegevens en betalingen komen. Ze treffen webshops op WooCommerce, Magento, Shopware, PrestaShop, OpenCart en andere PHP-systemen. De SecureCommerce-firewall blokkeert deze aanvallen voordat ze uw shop bereiken, ook zolang de PHP-update nog niet is uitgevoerd.
De firewall houdt de aanvallen tegen, ook als op uw server nog de oude PHP-versie draait.
U test de PHP-update rustig en installeert hem wanneer het u uitkomt, in plaats van 's nachts onder druk te patchen.
U hoeft niets in te stellen. De zelflerende filterregels van de SecureCommerce-firewall passen zich automatisch aan nieuwe aanvallen aan.
Als PHP zonder geheugen komt te zitten, breekt het de lopende verwerking abrupt af. In sommige situaties is het geheugen van het verzoek dan nog niet geïnitialiseerd. Bij het opruimen daarna werkt PHP met deze ongedefinieerde gegevens verder, en dat kan worden misbruikt om code binnen te smokkelen.
Globale status in PHP kan na afloop van een verzoek blijven verwijzen naar geheugen dat al is vrijgegeven. Volgende verzoeken lezen deze verouderde gegevens voordat ze opnieuw worden gezet. Ook dat kan leiden tot het uitvoeren van vreemde code.
Wie code op de shopserver kan uitvoeren, komt bij klantgegevens en betaalkoppelingen. Hij kan afleveradressen aanpassen, klanten naar valse betaalpagina’s sturen of malware achterlaten.
De lekken zitten in PHP zelf, niet in één bepaald webshopsysteem. Wat telt, is de PHP-versie waarop uw shop draait. Alleen deze versies zijn veilig:
| PHP-tak | Veilig vanaf versie |
|---|---|
| PHP 8.2 | PHP 8.2.35 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.5 | PHP 8.5.12 |
Daarmee is elk PHP-webshopsysteem getroffen zolang PHP op de server niet is bijgewerkt: WooCommerce, Magento, Shopware, PrestaShop, OXID eShop, JTL-Shop, Gambio, xt:Commerce, OpenCart, Zen Cart en osCommerce.
PHP 8.1 en oudere versies zoals PHP 7.4 worden in de officiële meldingen niet genoemd. Ze krijgen echter helemaal geen beveiligingsupdates meer, ook niet voor toekomstige lekken. Voor shops op verouderde PHP is een firewall vóór de shop de belangrijkste beschermingslaag tot een upgrade mogelijk is.
De actieve PHP-versie vindt u in het klantenpaneel van uw hostingprovider, in de beheeromgeving van uw webshop, via phpinfo() of op de commandoregel met php -v. Controleer alle servers, ook staging- en testomgevingen.
Werk bij naar PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12 en herstart de PHP-processen. Volgens het PHP-team is de update de enige volledige oplossing. Bij shared hosting moet uw provider de update uitrollen.
Kunt u niet meteen updaten, dan raadt het PHP-team aan verzoeken al vóór PHP te beperken: begrens de omvang van verzoeken, het aantal invoervariabelen, de nestingdiepte en uploads, en blokkeer multipart-verzoeken waar de shop ze niet nodig heeft.
De SecureCommerce-firewall blokkeert aanvallen op beide lekken. Dankzij plug-and-play-integratie is uw shop snel aangesloten.
De SecureCommerce-firewall beschermt uw shop tegen deze lekken en tegen het volgende. Dankzij plug-and-play-integratie is uw shop snel aangesloten, en SecureCommerce beheert hem als beheerde dienst.
Verzoeken worden gefilterd voordat ze uw shopserver bereiken. Zelflerende filterregels houden verdacht verkeer weg bij PHP.
Inbegrepen in de pakketten Pro en Plus: bescherming tegen pas bekendgemaakte lekken, nog voordat u uw systemen kon bijwerken.
Doorlopende bewaking van uw webshop- en databaseservers, zodat afwijkingen vroeg worden opgemerkt.
Detectie, blokkering en verwijdering van binnengesmokkelde malware op uw servers.
Op verzoek controleren we uw shop vooraf vrijblijvend en bepalen we samen welke bescherming past.
De SecureCommerce-firewall weert overbelastingsaanvallen en bad bots af, zodat uw shop bereikbaar blijft.
Ja. De SecureCommerce-firewall blokkeert aanvallen op beide lekken voordat ze PHP bereiken.
Ja, als hij draait op PHP 8.2 vóór 8.2.35, 8.3 vóór 8.3.36, 8.4 vóór 8.4.27 of 8.5 vóór 8.5.12. Dat geldt ongeacht het webshopsysteem.
De lekken zitten in PHP, niet in het webshopsysteem. U moet PHP op de server bijwerken. Een patchupdate binnen dezelfde tak, bijvoorbeeld van 8.3.x naar 8.3.36, verandert normaal gesproken niets aan de compatibiliteit van uw shop.
PHP 7.4 en alle versies tot en met 8.1 worden in de officiële meldingen niet genoemd. Ze krijgen echter geen beveiligingsupdates meer, ook niet voor toekomstige lekken. Plan een upgrade en plaats tot die tijd een firewall vóór uw shop.
Stuur ons de URL van uw shop via het contactformulier. Op verzoek controleren we uw shop vrijblijvend en sturen we u een offerte voor een passend beschermingspakket, vanaf 49 € per maand.
Stuur ons de URL van uw shop. We controleren uw shop vrijblijvend en sturen u per e-mail een offerte.
Bescherming aanvragen