Dutch follows English
The PHP security team will release emergency patches on October 21, 2026 at 16:00 CET (14:00 UTC) for two critical remote code execution vulnerabilities (CVE-2026-109618 and CVE-2026-109619) [1]. Details of these flaws leaked early, and working exploit code is now publicly available [2]. All organizations running PHP-based applications must prepare to patch immediately.
Description
Two critical vulnerabilities affect PHP's core code, both rated CVSS v4.0 9.2 by the PHP security team [1]. Technical details leaked on October 20, 2026 before the planned embargo date [2]. The vulnerability allows an attacker to run their own code on a server running PHP, potentially taking control of it [3].The vulnerability is a heap use-after-free vulnerability in PHP's session.upload_progress handler that can be exploited through specially crafted multipart POST requests to achieve remote code execution [2]. The vulnerability occurs when the session handler caches pointers to memory that gets freed during request processing, allowing attackers to reclaim that memory and execute arbitrary code through the zend_call_function mechanism.
Impact
We estimate the impact of these vulnerabilities as high. Successful exploitation allows unauthenticated remote attackers to execute arbitrary code on vulnerable PHP servers. This means attackers can take complete control of affected systems. The vulnerabilities apply to the default configuration of with default PHP configurations requiring only session.upload_progress.enabled=1, which is the standard setting. Exploitation does not require authentication or special permissions.
Risk
We estimate the risk of these vulnerabilities as high. Working proof-of-concept exploit code has been published and is publicly available. The exploits have been verified against real PHP installations including version 8.4.4 and 8.2.34. Security researchers have confirmed the vulnerabilities are genuine and exploitable. While no active exploitation has been observed yet, the combination of public exploit code, critical severity, widespread PHP deployment, and simple exploitation makes attacks highly likely. Organizations running end-of-life PHP versions (5.x and 7.x) face permanent exposure as they will not receive official patches.
Mitigation
The PHP security team will release patched versions on October 21, 2026 at 16:00 CET (14:00 UTC) or earlier if evidence of active exploitation appear. Organizations should apply these patches immediately upon release, prioritizing internet-facing systems.
For systems that cannot be patched immediately, there are mitigations available which can mitigate the current available proof of concept. Since not all details of the vulnerability are available yet, we cannot guarantee this will fully mitigate the vulnerability [4].
What should you do?
Identify all PHP installations in your environment right now, including version numbers and whether systems face the internet. Prepare to patch all PHP systems on October 21, 2026 starting at 16:00 CET (14:00 UTC). For internet-facing systems that cannot wait for patches, apply the mitigations mentioned above. This provides partial protection but is not a complete fix.Have your teams ready to deploy official patches the moment they become available. Test patches quickly but do not delay deployment to production systems. If you are running PHP versions 5.x or 7.x, begin emergency planning to migrate to PHP 8.x as these old versions will likely remain vulnerable. Contact your hosting provider if you use managed hosting to understand their patching timeline.
Do you have an incident right now? Call our Incident Response Team: 00800 1744 0000
Disclaimer applies, see below.
Sources
[1] https://www.php.net/archive/2026.php#2026-10-20-1
[2] https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html
[3] https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
[4] https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/
Description
Two critical vulnerabilities affect PHP's core code, both rated CVSS v4.0 9.2 by the PHP security team [1]. Technical details leaked on October 20, 2026 before the planned embargo date [2]. The vulnerability allows an attacker to run their own code on a server running PHP, potentially taking control of it [3].The vulnerability is a heap use-after-free vulnerability in PHP's session.upload_progress handler that can be exploited through specially crafted multipart POST requests to achieve remote code execution [2]. The vulnerability occurs when the session handler caches pointers to memory that gets freed during request processing, allowing attackers to reclaim that memory and execute arbitrary code through the zend_call_function mechanism.
Impact
We estimate the impact of these vulnerabilities as high. Successful exploitation allows unauthenticated remote attackers to execute arbitrary code on vulnerable PHP servers. This means attackers can take complete control of affected systems. The vulnerabilities apply to the default configuration of with default PHP configurations requiring only session.upload_progress.enabled=1, which is the standard setting. Exploitation does not require authentication or special permissions.
Risk
We estimate the risk of these vulnerabilities as high. Working proof-of-concept exploit code has been published and is publicly available. The exploits have been verified against real PHP installations including version 8.4.4 and 8.2.34. Security researchers have confirmed the vulnerabilities are genuine and exploitable. While no active exploitation has been observed yet, the combination of public exploit code, critical severity, widespread PHP deployment, and simple exploitation makes attacks highly likely. Organizations running end-of-life PHP versions (5.x and 7.x) face permanent exposure as they will not receive official patches.
Mitigation
The PHP security team will release patched versions on October 21, 2026 at 16:00 CET (14:00 UTC) or earlier if evidence of active exploitation appear. Organizations should apply these patches immediately upon release, prioritizing internet-facing systems.
- Disable upload-progress tracking in php.ini, .user.ini, or .htaccess and reload PHP-FPM on your web server.
- session.upload_progress.enabled = Off
- Block multipart requests at the web server if possible. This configuration is dependent on the web server used to host PHP. Check the documentation of your web server solution or WAF on how to configure this.
What should you do?
Identify all PHP installations in your environment right now, including version numbers and whether systems face the internet. Prepare to patch all PHP systems on October 21, 2026 starting at 16:00 CET (14:00 UTC). For internet-facing systems that cannot wait for patches, apply the mitigations mentioned above. This provides partial protection but is not a complete fix.Have your teams ready to deploy official patches the moment they become available. Test patches quickly but do not delay deployment to production systems. If you are running PHP versions 5.x or 7.x, begin emergency planning to migrate to PHP 8.x as these old versions will likely remain vulnerable. Contact your hosting provider if you use managed hosting to understand their patching timeline.
What will Northwave do
Northwave MDR will monitor for potential exploitation of these PHP vulnerabilities across all managed environments based on available log sources when details become available. Our team will track the official patch release at 14:00 UTC on October 21, 2026 and analyze the security updates to confirm scope and affected versions. We will continue monitoring threat intelligence sources for signs of active attacks.
E-mail: soc@northwave-cybersecurity.comNorthwave MDR will monitor for potential exploitation of these PHP vulnerabilities across all managed environments based on available log sources when details become available. Our team will track the official patch release at 14:00 UTC on October 21, 2026 and analyze the security updates to confirm scope and affected versions. We will continue monitoring threat intelligence sources for signs of active attacks.
Do you have an incident right now? Call our Incident Response Team: 00800 1744 0000
Disclaimer applies, see below.
Sources
[1] https://www.php.net/archive/2026.php#2026-10-20-1
[2] https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html
[3] https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
[4] https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/
Het PHP-beveiligingsteam zal op 21 oktober 2026 om 16:00 CET (14:00 UTC) noodpatches uitbrengen voor twee kritieke kwetsbaarheden voor remote code execution (RCE) (CVE-2026-109618 en CVE-2026-109619) [1]. Details van deze kwetsbaarheden zijn voortijdig uitgelekt en werkende exploitcode is inmiddels publiek beschikbaar [2]. Alle organisaties die PHP-gebaseerde applicaties gebruiken, moeten zich voorbereiden om deze patches direct te installeren.
Beschrijving
Twee kritieke kwetsbaarheden treffen de kerncode van PHP. Beide zijn door het PHP-beveiligingsteam beoordeeld met een CVSS v4.0-score van 9,2 [1]. De technische details zijn op 20 oktober 2026 voortijdig openbaar geworden, vóór de geplande embargo-datum [2]. De kwetsbaarheden stellen een aanvaller in staat eigen code uit te voeren op een server waarop PHP draait, waardoor volledige overname van het systeem mogelijk wordt [3].Het betreft een heap use-after-free-kwetsbaarheid in de session.upload_progress functionaliteit van PHP. Deze kan worden misbruikt via speciaal gevormde multipart POST-verzoeken om remote code execution te verkrijgen [2]. De kwetsbaarheid ontstaat doordat de session handler verwijzingen naar geheugen cachet dat tijdens de verwerking van een verzoek wordt vrijgegeven. Aanvallers kunnen dit geheugen vervolgens opnieuw gebruiken en via het mechanisme zend_call_function willekeurige code uitvoeren.
Impact
Wij schatten de impact van deze kwetsbaarheden in als hoog. Succesvolle exploitatie stelt niet-geauthenticeerde externe aanvallers in staat willekeurige code uit te voeren op kwetsbare PHP-servers. Dit betekent dat aanvallers volledige controle kunnen verkrijgen over getroffen systemen.De kwetsbaarheden zijn aanwezig in standaard PHP-configuraties en vereisen enkel dat 'session.upload_progress.enabled=1' actief is, wat de standaardinstelling is. Exploitatie vereist geen authenticatie of speciale rechten.
Risico
Wij schatten het risico van deze kwetsbaarheden in als hoog. Werkende proof-of-concept (PoC)-exploitcode is gepubliceerd en publiek beschikbaar. De exploits zijn gevalideerd op daadwerkelijke PHP-installaties, waaronder versies 8.4.4 en 8.2.34. Beveiligingsonderzoekers hebben bevestigd dat de kwetsbaarheden authentiek en praktisch uit te buiten zijn.Hoewel er momenteel nog geen actieve misbruikcampagnes zijn waargenomen, maakt de combinatie van publiek beschikbare exploitcode, kritieke ernst, het brede gebruik van PHP en de relatief eenvoudige exploitatie de kans op aanvallen zeer groot.Organisaties die nog gebruikmaken van end-of-life versies van PHP (5.x en 7.x) lopen een blijvend risico, omdat voor deze versies geen officiële beveiligingsupdates meer worden verwacht.
Mitigatie
Het PHP-beveiligingsteam zal op 21 oktober 2026 om 16:00 CET (14:00 UTC) gepatchte versies uitbrengen, of eerder indien er aanwijzingen zijn voor actieve exploitatie. Organisaties dienen deze patches direct na beschikbaarheid te installeren, waarbij systemen die vanaf internet bereikbaar zijn prioriteit moeten krijgen.Voor systemen die niet direct kunnen worden gepatcht, zijn mitigatiemaatregelen beschikbaar die de momenteel bekende proof-of-concept kunnen mitigeren. Omdat nog niet alle technische details van de kwetsbaarheid bekend zijn, kunnen wij echter niet garanderen dat deze maatregelen volledige bescherming bieden [4].
Wat moet u doen?
Breng onmiddellijk alle PHP-installaties binnen uw omgeving in kaart, inclusief de gebruikte versie en of deze systemen vanaf internet bereikbaar zijn. Bereid u voor om alle PHP-systemen op 21 oktober 2026 vanaf 16:00 CET (14:00 UTC) te patchen.Voor internetgerichte systemen die niet kunnen wachten op de officiële patches, dienen de hierboven beschreven mitigatiemaatregelen zo snel mogelijk te worden toegepast. Deze bieden gedeeltelijke bescherming, maar vormen geen definitieve oplossing.Zorg ervoor dat uw teams gereedstaan om de officiële patches direct na beschikbaarheid uit te rollen. Test de patches waar nodig, maar voorkom onnodige vertraging bij de implementatie op productiesystemen.Indien u nog PHP 5.x of 7.x gebruikt, start dan direct met een versnelde migratieplanning naar PHP 8.x, aangezien deze oudere versies waarschijnlijk kwetsbaar zullen blijven. Neem contact op met uw hostingprovider indien u gebruikmaakt van managed hosting om inzicht te krijgen in hun patchplanning.
Wat gaat Northwave doen?
Northwave MDR zal omgevingen monitoren op exploitatie van deze PHP-kwetsbaarheden op basis van de beschikbare logbronnen wanneer additionele details beschikbaar komen. Ons team volgt de officiële patchrelease op 21 oktober 2026 om 14:00 UTC en zal de beveiligingsupdates analyseren om de exacte impact en getroffen versies vast te stellen. We zullen dreigingsinformatiebronnen blijven monitoren op aanwijzingen van actieve aanvallen of grootschalig misbruik van deze kwetsbaarheden.
Bronnen
[1] https://www.php.net/archive/2026.php#2026-10-20-1
[2] https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html
[3] https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
[4] https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/
Beschrijving
Twee kritieke kwetsbaarheden treffen de kerncode van PHP. Beide zijn door het PHP-beveiligingsteam beoordeeld met een CVSS v4.0-score van 9,2 [1]. De technische details zijn op 20 oktober 2026 voortijdig openbaar geworden, vóór de geplande embargo-datum [2]. De kwetsbaarheden stellen een aanvaller in staat eigen code uit te voeren op een server waarop PHP draait, waardoor volledige overname van het systeem mogelijk wordt [3].Het betreft een heap use-after-free-kwetsbaarheid in de session.upload_progress functionaliteit van PHP. Deze kan worden misbruikt via speciaal gevormde multipart POST-verzoeken om remote code execution te verkrijgen [2]. De kwetsbaarheid ontstaat doordat de session handler verwijzingen naar geheugen cachet dat tijdens de verwerking van een verzoek wordt vrijgegeven. Aanvallers kunnen dit geheugen vervolgens opnieuw gebruiken en via het mechanisme zend_call_function willekeurige code uitvoeren.
Impact
Wij schatten de impact van deze kwetsbaarheden in als hoog. Succesvolle exploitatie stelt niet-geauthenticeerde externe aanvallers in staat willekeurige code uit te voeren op kwetsbare PHP-servers. Dit betekent dat aanvallers volledige controle kunnen verkrijgen over getroffen systemen.De kwetsbaarheden zijn aanwezig in standaard PHP-configuraties en vereisen enkel dat 'session.upload_progress.enabled=1' actief is, wat de standaardinstelling is. Exploitatie vereist geen authenticatie of speciale rechten.
Risico
Wij schatten het risico van deze kwetsbaarheden in als hoog. Werkende proof-of-concept (PoC)-exploitcode is gepubliceerd en publiek beschikbaar. De exploits zijn gevalideerd op daadwerkelijke PHP-installaties, waaronder versies 8.4.4 en 8.2.34. Beveiligingsonderzoekers hebben bevestigd dat de kwetsbaarheden authentiek en praktisch uit te buiten zijn.Hoewel er momenteel nog geen actieve misbruikcampagnes zijn waargenomen, maakt de combinatie van publiek beschikbare exploitcode, kritieke ernst, het brede gebruik van PHP en de relatief eenvoudige exploitatie de kans op aanvallen zeer groot.Organisaties die nog gebruikmaken van end-of-life versies van PHP (5.x en 7.x) lopen een blijvend risico, omdat voor deze versies geen officiële beveiligingsupdates meer worden verwacht.
Mitigatie
Het PHP-beveiligingsteam zal op 21 oktober 2026 om 16:00 CET (14:00 UTC) gepatchte versies uitbrengen, of eerder indien er aanwijzingen zijn voor actieve exploitatie. Organisaties dienen deze patches direct na beschikbaarheid te installeren, waarbij systemen die vanaf internet bereikbaar zijn prioriteit moeten krijgen.Voor systemen die niet direct kunnen worden gepatcht, zijn mitigatiemaatregelen beschikbaar die de momenteel bekende proof-of-concept kunnen mitigeren. Omdat nog niet alle technische details van de kwetsbaarheid bekend zijn, kunnen wij echter niet garanderen dat deze maatregelen volledige bescherming bieden [4].
- Schakel upload-progress tracking uit in php.ini, .user.ini, or .htaccess en herstart PHP-FPM op de webserver.
- session.upload_progress.enabled = Off
- Blokkeer indien mogelijk multipart/form-data-verzoeken op webserverniveau.
- De configuratie hiervan is afhankelijk van de gebruikte webserver of WAF-oplossing. Raadpleeg de documentatie van uw webserver, reverse proxy of WAF voor de juiste configuratie.
Wat moet u doen?
Breng onmiddellijk alle PHP-installaties binnen uw omgeving in kaart, inclusief de gebruikte versie en of deze systemen vanaf internet bereikbaar zijn. Bereid u voor om alle PHP-systemen op 21 oktober 2026 vanaf 16:00 CET (14:00 UTC) te patchen.Voor internetgerichte systemen die niet kunnen wachten op de officiële patches, dienen de hierboven beschreven mitigatiemaatregelen zo snel mogelijk te worden toegepast. Deze bieden gedeeltelijke bescherming, maar vormen geen definitieve oplossing.Zorg ervoor dat uw teams gereedstaan om de officiële patches direct na beschikbaarheid uit te rollen. Test de patches waar nodig, maar voorkom onnodige vertraging bij de implementatie op productiesystemen.Indien u nog PHP 5.x of 7.x gebruikt, start dan direct met een versnelde migratieplanning naar PHP 8.x, aangezien deze oudere versies waarschijnlijk kwetsbaar zullen blijven. Neem contact op met uw hostingprovider indien u gebruikmaakt van managed hosting om inzicht te krijgen in hun patchplanning.
Wat gaat Northwave doen?
Northwave MDR zal omgevingen monitoren op exploitatie van deze PHP-kwetsbaarheden op basis van de beschikbare logbronnen wanneer additionele details beschikbaar komen. Ons team volgt de officiële patchrelease op 21 oktober 2026 om 14:00 UTC en zal de beveiligingsupdates analyseren om de exacte impact en getroffen versies vast te stellen. We zullen dreigingsinformatiebronnen blijven monitoren op aanwijzingen van actieve aanvallen of grootschalig misbruik van deze kwetsbaarheden.
Bronnen
[1] https://www.php.net/archive/2026.php#2026-10-20-1
[2] https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html
[3] https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
[4] https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/
Disclaimer van toepassing, zie hieronder.