Software-update: PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12

Updates voor versies 8.2, 8.3, 8.4 en 8.5 zijn uitgebracht om twee zeer ernstige beveiligingsproblemen te verhelpen. PHP is een recursief acroniem en staat voor PHP: Hypertext Preprocessor. Het wordt voornamelijk gebruikt om op webservers dynamische webpagina's te creëren, vaak in combinatie met databaseprogramma's. Meer informatie over de kwetsbaarheden is hieronder te vinden:

Security advisory: Critical remote code execution vulnerabilities, update now

PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution. All PHP users are strongly encouraged to update immediately.

Who is at risk: all PHP installations serving web requests, including PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP and LiteSpeed. We consider the risk highest for mod_php, with a demonstrated exploit where an unauthenticated request can trigger the attack before any application code runs.

The vulnerabilities:

• RCE via OOM corruption, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): out-of-memory handling can interrupt PHP while internal request data is only partially initialized. Request cleanup may then treat the invalid data as valid.
• RCE via stale global state, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): request-owned internal state can survive after its backing memory has been freed. A later request handled by the same worker may use that stale state before normal initialization resets it.

Versienummer	8.2.35 / 8.3.36 / 8.4.27 / 8.5
Releasestatus	Final
Besturingssystemen	Scripttaal, Linux, BSD, macOS, Solaris, Windows 10, Windows Server 2016, Windows Server 2019, Windows 11, Windows Server 2022, Windows Server 2025
Website	PHP
Download	https://www.php.net/downloads.php
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (26)

[Erwin1985]

Sury repository heeft de patch. Gewoon doen.

[stefan14]

https://packages.sury.org/php/README.txt

[ISaFeeliN]

Hoe kun je nou weten of die php die je installeert de patch heeft? Want de 7.4 versie van Sury heeft gewoon hetzelfde rugnummer volgens mij: 7.4.33

[Liveonline]

interessant https://blackoutmap.net/blog/php2shell

[vhartong]

Net meteen de update uitgevoerd.
Niet vergeten om apache (of de php-service) even opnieuw op te starten.

[Arthur Tromp]

Goed advies!

[marcelzutphen]

Let erop dat de meeste Ubuntu-pakketten nog niet zijn ge-update waardoor je via SSH op je server nog niet met apt php 8.5.12 (of een andere versie van php 8.x met de patch) kan installeren.

[Webgnome]

en daarom moet je dus Sury repo gebruiken althans dat is wat wij doen

[MaxKorlaar]

Oei, dit klinkt alsof het nog best een groot probleem kan worden!

[redtoller]

Zal wel meevallen, in het ergste geval gaan een paar belangrijke websites een paar uur offline, maar dat zie ik niet gebeuren

[djspare]

Tenzij webdevs of managers hebben zitten slacken en nog op een 8.1 of 8.0 versie zitten (of nog lager, brrr). De minor updates van PHP maken doorgaans wel wat functionaliteit stuk en dat moet dan eerst werkend worden gemaakt op een obscure demo- of acceptatie-omgeving met een ondersteunde PHP versie. Ik denk dat er nog wel aardig wat problemen zullen blijven de aankomende dagen.

Gelukkig is Tweakers alweer in de lucht =)

[_NooT_]

Geloof me maar, er zijn nog heeeeel veel website die PHP 8.1 of ouder draaien.
Die 40% geldt voor PHP 7.4 en lager.

Heeft lang niet altijd te maken met luiheid.
Zeker bij websites met een CMS als WordPress of Joomla, maar in een framework als Symfony of Laravel, zijn vaak plugins of packages in gebruikt die nooit updates hebben gekregen voor PHP 8.2 en hoger.

Dan moet je er echt voor kiezen een stuk functionaliteit te laten vervallen of vervangen, wat zeker voor kleine(re) bedrijven een flinke kostenpost is.

Ik ben onlangs nog bezig geweest een in de steek gelaten project aan te passen naar van PHP 7.4 naar PHP 8.3. Dat was een heel venijnig klusje omdat sommige conditions na update een tegengestelde waarde gaven.
Bijvoorbeeld bij ($value == 0)
Bij $value = 'true'

Natuurlijk al slecht dat hier een loose comparison wordt gebruikt, maar de oude develop was daar verzot op en combineerde die naar hartelust.


Updates vanaf PHP 8.0 naar een hogere versie geven doorgaans minder problemen, maaar ook daar zie je wel eens problemen ontstaan.
Negenoeg altijd door code die altijd al slecht was.

[commentator]

heb op mijn test server, niet van buitenaf benaderbaar, nog oudere php draaien.

Die zijn zojuist met de debian upgrade allemaal bijgewerkt zelfs 5.6

[SED]

Dat is al bezig. Ook advies vanuit security advise.

Digid oa en heel veel gemeentelijke en andere overheid sites.

[Netburst]

Voor debian is de goeie: For the stable distribution (trixie), these problems have been fixed in version 8.4.27-1~deb13u1.

Check-site: https://php2shell.site/tweakers.net/241299a01dc44b2a

[Sam1an]

Apparently about 40% of PHP apps are still on PHP 7 and 5... | Hacker News

Het lijkt erop dat er toch backports beschikbaar gaan komen voor Debian
Er zijn nieuwe packages gespot.

5.6.40-104+0~20261021.134+debian12~1.gbp7401dd

7.4.33-31+0~20261021.121+debian12~1.gbpe9c428

[HSG]

Ik ben benieuwd wanneer dit voor Synology uit komt. Zij hebben ook PHP pakket beschikbaar.

[Dennahz]

Mag aannemen dat dit vanavond ook gerealiseerd zal worden. Ben er ook op aan het wachten.

[paradoXical]

Ben ik even blij dat ik alle sites gemigreerd heb recent. Zit op Kreta, met mijn laptop op mijn schoot en een cocktail in mijn handen php bij te werken.

Hiervoor draaide alles nog op php 7 🤭

[Reactie gewijzigd door paradoXical op 21 oktober 2026 16:50]

[DaveAEP]

Voor de iets meer leken onder ons die nu hun websites moeten updaten.
Dat ze het hier hebben over 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
Betekent het dan dat als je website (met plugins etc) draaien op 8.2.x update naar 8.2.35?
En 8.3.x naar 8.3.36 etc?

[redtoller]

Jep!

[paradoXical]

Dit. Kan zijn dat je even moet wachten tot de nieuwe packages in de repo's verschijnen, afhankelijk van welke distributie/repo's je hebt op je server

[Chrisje1983]

Ik ben een leek op dit gebied maar Is dit ook van toepassing om een synology nas?

Mijn ds918 nas draaide een verouderde dsm 7.2.
Ik heb vanochtend direct alle apps die gebruik maken van php namelijk: note station, calendar en hyper backup gestopt (deze apps maakten gebruik van php 8.2, en php 7.4) Daarna heb ik uit voorzorg toch maar dsm 7.2 geupdate naar dsm 7.4.

Voor nu laat ik boven genoemde apps uitstaan tot er een update komt.

[Reactie gewijzigd door Chrisje1983 op 21 oktober 2026 17:04]

[mOTiVe]

Geldt ook voor je Synology. Alleen is PHP daar een additioneel package wat je moet bijwerken het zit niet in de DSM updates. Overigens kun je het ook uitzetten als package dan verlies je alleen de diensten die het nodig hebben.