Deze editie draait om PHP2Shell: twee kritieke lekken in de PHP-runtime zelf, waarvoor al aanvalspogingen zijn gezien en die in Nederland diensten als DigiD en MijnOverheid voorzorgshalve offline brachten. Daarnaast heeft GitLab een lek met CVSS 10,0 gedicht in alle self-managed versies sinds 2014, en melden Palo Alto Networks en Unit 42 dat ransomwaregroepen het GlobalProtect-lek in PAN-OS gebruiken om via de VPN door te dringen tot vCenter en Veeam.
- PHP2Shell: twee kritieke RCE-lekken in de PHP-runtime, eerste aanvalspogingen al gezien
- GitLab dicht kritiek lek met maximale score: ongeauthenticeerde code-uitvoering op self-managed servers
- Ransomwaregroepen misbruiken GlobalProtect-lek in PAN-OS en grijpen door naar vCenter en Veeam
PHP2Shell: twee kritieke RCE-lekken in de PHP-runtime, eerste aanvalspogingen al gezien
| Kwetsbaarheid | Twee fouten in de PHP-runtime zelf, niet in een applicatie: een out-of-memory-fout en een fout rond de upload-voortgang van sessies. Ze maken ongeauthenticeerde remote code execution mogelijk. Kwetsbaar zijn PHP 8.5 onder 8.5.12, 8.4 onder 8.4.27, 8.3 onder 8.3.36 en 8.2 onder 8.2.35, en volgens de berichtgeving vrijwel alle versies terug tot PHP 5.4 |
| CVE-nummer | CVE-2026-109618 en CVE-2026-109619 |
| CVSS-score | 9,2 voor beide (CVSS v4.0, volgens PHP) |
| Actief misbruikt | Aanvalspogingen zijn gezien: Cloudflare meldde aanvalsverkeer en watchTowr meldde op 21 oktober 2026 actieve pogingen voor beide CVE’s. Bevestigde inbraken zijn niet gemeld en de lekken staan nog niet in de CISA KEV-catalogus |
| Patch beschikbaar | Ja, PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor 7.4, 8.0 en 8.1 zijn broncode-backports gepubliceerd. Distributies hebben vroeg gepatcht en houden soms oude versienummers aan |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens The Hacker News werkt de aanval op de runtime, vóór er applicatiecode draait. Bij mod_php is volgens een gedemonstreerde exploit één ongeauthenticeerd verzoek genoeg. Bij PHP-FPM is code-uitvoering aangetoond voor de sessiefout, al hangt dat af van een handeling in de draaiende applicatie. Zelfs een simpele “Hello World”-pagina op een kwetsbare versie kan het doelwit zijn. De fouten zijn gevonden door Wiz Research, Calif en het Codex Security-team van OpenAI. De publicatie liep uit de pas: op 20 oktober lekte de aankondiging uit en postte Calif per ongeluk een video van een werkende proof of concept, waarna PHP de release naar 21 oktober vervroegde.
Wat kan het gevolg zijn?
Aanvallers kunnen werkgeheugen van PHP-workers uitlezen, waarin wachtwoorden, tokens, API-sleutels en certificaten van andere verzoeken kunnen staan, en in het ergste geval code uitvoeren op de server. In Nederland gingen volgens NOS onder meer MijnOverheid, DigiD en de website van de Tweede Kamer voorzorgshalve offline. Het NCSC zag geen misbruik. Voor hosters en MSP’s met beheerde webservers is dit een lek op de laag waar jij als beheerder over gaat: een update van WordPress of Laravel werkt de runtime niet bij.
Wat moeten IT-beheerders nu doen?
Werk PHP bij via het serverpakket, de host of de containerimage, en herstart daarna Apache, PHP-FPM en andere langlopende workers. Controleer bij distributiepakketten de changelog op de CVE’s in plaats van het versienummer. Kun je nog niet patchen, zet dan session.upload_progress.enabled op 0, stel memory_limit in op -1 en houd post_max_size laag. Dat dekt niet alle varianten. Let op een mogelijke eerdere inbraak: vreemde multipart-verzoeken gevolgd door geheugenfouten, herhaalde HTTP 500-meldingen, ongewoon grote PHPSESSID-cookies en onverklaarde herstarts van workers. PHP 8.2 loopt op 31 december 2026 af, dus plan de migratie.
GitLab dicht kritiek lek met maximale score: ongeauthenticeerde code-uitvoering op self-managed servers
| Kwetsbaarheid | Integer overflow bij het compileren van een speciaal opgebouwde reguliere expressie in Onigmo, de regex-engine van Ruby die GitLab zelf meelevert. Raakt self-managed GitLab van 7.0 tot en met 18.11 (onder 18.11.13), 19.0 onder 19.0.10, 19.1 onder 19.1.9, 19.2 onder 19.2.9, 19.3 onder 19.3.6, 19.4 onder 19.4.3 en 19.5 onder 19.5.1 |
| CVE-nummer | CVE-2026-110264 |
| CVSS-score | 10,0 |
| Actief misbruikt | Nee, GitLab ziet geen aanwijzingen voor misbruik en het lek staat op 22 oktober 2026 niet in de CISA KEV-catalogus |
| Patch beschikbaar | Ja, 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 en 18.11.13. Er is geen workaround |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens The Hacker News kan een ongeauthenticeerde aanvaller via de overflow code laten uitvoeren op de server, “onder bepaalde voorwaarden” die GitLab niet toelicht. Beheerders kunnen zichzelf dus niet uitsluiten op basis van hun configuratie. Het is de vierde code-uitvoeringsfout in de regex-engine van GitLab binnen een maand, gemeld door een onderzoeker met de naam joaxcar, en de eerste die ook versies vóór 19.2 raakt.
Wat kan het gevolg zijn?
Een overgenomen GitLab-server geeft toegang tot broncode, CI/CD-geheimen, deploytokens en vaak de omgevingen waar die naartoe uitrollen. Voor MSP’s die GitLab zelf hosten voor klanten of intern gebruiken, is dat een directe route naar klantomgevingen. GitLab.com en Dedicated-tenants op de gepatchte versies zijn al veilig.
Wat moeten IT-beheerders nu doen?
Upgrade naar de gepatchte versie van je tak. Heb je op 12 oktober gepatcht en draai je 19.2 of nieuwer, dan ben je opnieuw kwetsbaar, want die update bevatte deze fix niet. De versies 19.4.3 en 19.3.6 bevatten databasemigraties, dus reken bij een single-node installatie op downtime. Tot het patchen klaar is: haal GitLab van het open internet of achter een VPN en gebruik de twee Sigma-regels die GitLab publiceerde (“Onigmo native worker crash” en “Org mode render error burst”) om in de applicatielogs te zoeken.
Ransomwaregroepen misbruiken GlobalProtect-lek in PAN-OS en grijpen door naar vCenter en Veeam
| Kwetsbaarheid | Authenticatiebypass in de GlobalProtect-portal en -gateway van PAN-OS, waarmee aanvallers zonder geldige authenticatie en voorbij MFA een VPN-sessie opzetten |
| CVE-nummer | CVE-2026-0257 |
| Actief misbruikt | Ja, sinds 13 mei 2026 in de CISA KEV-catalogus. Unit 42 meldde op 19 oktober 2026 misbruik door ransomwaregroepen, waaronder Qilin en Inc |
| Patch beschikbaar | Ja, via een gefixte PAN-OS-versie of de workarounds in het advies van Palo Alto Networks. Controleer het advies voor de juiste versie per tak |
Hoe is dit misbruikt?
Volgens de bijgewerkte Threat Brief van Unit 42 komen aanvallers via de bypass binnen op het VPN, verkennen ze het netwerk met legitieme remote monitoring- en managementtools en bewegen ze zich lateraal over RDP en SMB. Eerder was er alleen sprake van het aftasten van GlobalProtect, inmiddels beschrijft Unit 42 ook activiteit na de toegang. Dezelfde groepen staan bekend als Spikey Scorpius (Qilin) en Tarnished Scorpius (Inc).
Wat kan het gevolg zijn?
In één onderzocht geval sprongen aanvallers van de VPN-gateway naar een vCenter-appliance, schakelden ze beveiliging op ESXi-hosts uit en lazen ze offline credentials uit de virtuele schijf van een domeincontroller. Sommige actoren combineerden dit met misbruik van Veeam-infrastructuur (CVE-2023-27532). Voor MSP’s met firewalls van Palo Alto bij klanten is de keten van VPN naar hypervisor naar back-up precies het scenario waarin versleuteling en het verlies van back-ups samenkomen.
Wat moeten IT-beheerders nu doen?
Patch PAN-OS of pas de workarounds uit het advies van Palo Alto Networks toe. Zoek in de GlobalProtect-logs naar geslaagde logins vanaf de IP-adressen in het Unit 42-rapport en naar apparaatnamen als WINDOWS-LAPTOP-001, DESKTOP-GP01 en GP-CLIENT. Controleer of GlobalProtect-profielen gekoppeld zijn aan HTTP/HTTPS-diensten op managementinterfaces en beperk beheertoegang met Interface Management-profielen. Test van buitenaf of poort 4443 en 3879 op je managementadres bereikbaar zijn. Bij een match schakel je je incidentresponsproces in en controleer je ook vCenter, ESXi en je Veeam-versie.
