Deze editie draait om drie lekken die direct op de MSP-werkvloer landen. Een kritieke PHP-kwetsbaarheid (PHP2Shell) wordt breed gescand en raakt vrijwel elke webhostingomgeving, in Arista VeloCloud Orchestrator wordt een SQL-injectie actief misbruikt en GitLab dicht een lek met de maximale score van 10,0 dat twaalf jaar aan releases raakt.
- PHP2Shell: twee kritieke PHP-lekken geven aanvallers code-uitvoering zonder inloggen, scans zijn al gaande
- Arista waarschuwt voor actief misbruikte SQL-injectie in VeloCloud Orchestrator
- GitLab dicht kritiek lek met CVSS 10,0 dat zelfbeheerde installaties tot twaalf jaar terug raakt
PHP2Shell: twee kritieke PHP-lekken geven aanvallers code-uitvoering zonder inloggen, scans zijn al gaande
| Kwetsbaarheid | Twee fouten in het geheugenbeheer en de foutafhandeling van PHP zelf, waarmee een aanvaller zonder authenticatie code op de server kan laten draaien. Volgens The Hacker News zijn alle releases in de 7.x- en 8.x-reeks getroffen |
| CVE-nummer | CVE-2026-109618 en CVE-2026-109619 |
| CVSS-score | 9,2 (beide) |
| Actief misbruikt | Ja, volgens The Hacker News. Eerste poging op 17 oktober 2026 gezien door Amazon, op 21 oktober de eerste aanvallen met de uitgelekte proof-of-concept. Niet alle bronnen bevestigen geslaagd misbruik |
| Patch beschikbaar | Ja, sinds 21 oktober 2026: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (volgens secundaire bronnen; controleer php.net). Voor end-of-life-branches is geen fix beschikbaar |
Hoe kan de kwetsbaarheid misbruikt worden?
Beide fouten zitten in code die bijna elk verzoek aanraakt, en de PHP Foundation noemt ze volgens The Hacker News lastig te verhelpen zonder compatibiliteit te breken. Ontdekt door onderzoekers van Calif, OpenAI en Wiz. Details en een proof-of-concept lekten voor de geplande release uit, waardoor de PHP Foundation de release een dag naar voren haalde. Amazon zag al op 17 oktober een eerste poging en op 21 oktober de eerste aanvallen met de uitgelekte code, waarbij meerdere aanvallers actief lijken. Pantheon blokkeerde op 21 oktober meer dan 60.000 verdachte verzoeken, en Cloudflare ziet aanvallers hun payloads aanpassen om filters te omzeilen. Op GitHub circuleren ook nep-PoC’s met malware. Volgens Dutch IT Channel haalden diverse Nederlandse websites, waaronder die van de Tweede Kamer en het NCSC, zich preventief offline.
Wat kan het gevolg zijn?
Een geslaagde aanval geeft directe toegang tot het bestandssysteem en de database van de webserver. Detectie is lastig: volgens CrowdStrike blijven de workers stabiel, geven responses HTTP 200 en blijft de applicatielog leeg. Het enige spoor is een enkele memory-limit-fout in de foutlog van de webserver, die vaak als ruis wordt weggezet. VulnCheck telt ruim 2,6 miljoen internet-facing hosts met PHP, waarvan een groot deel op verouderde branches draait.
Wat moeten IT-beheerders nu doen?
Update PHP naar de gepatchte versie van je branch, of installeer de pakketten van je hostingleverancier (CloudLinux bracht bijvoorbeeld fixes uit voor ea-php52 tot en met ea-php85). Hosting je klanten op end-of-life-versies, dan is migreren de enige echte oplossing; zet intussen WAF-regels in, bijvoorbeeld die van Cloudflare of AWS. Zoek in foutlogs naar memory-limit-fouten en controleer of PHP-processen onverwacht shells starten of bestanden downloaden, zoals de FBI adviseert. Vertrouw geen PoC’s van GitHub zonder ze te controleren.
Arista waarschuwt voor actief misbruikte SQL-injectie in VeloCloud Orchestrator
| Kwetsbaarheid | SQL-injectie in Arista VeloCloud Orchestrator (VCO), het centrale beheerplatform van VeloCloud SD-WAN. Getroffen zijn on-premises releases vóór 5.2.3.18, 6.1.3.10 en 6.4.2.12 |
| CVE-nummer | CVE-2026-114625 |
| CVSS-score | 9,9 |
| Actief misbruikt | Ja, bevestigd door Arista in het advisory van 22 oktober 2026 |
| Patch beschikbaar | Ja: VCO 5.2.3.18, 6.1.3.10 en 6.4.2.12. Hosted en Dedicated orchestrators zijn al gepatcht |
Hoe is dit misbruikt?
Volgens The Hacker News heeft een aanvaller netwerktoegang tot de VCO-webinterface nodig en een geldige login, al volstaat de laagste klantrol (Enterprise Read Only). Daarmee is superuser-toegang op de orchestrator te krijgen. De interface staat standaard open en er is geen instelling om dat te voorkomen. Arista meldt niet wanneer de aanvallen begonnen of wat aanvallers daarna deden.
Wat kan het gevolg zijn?
Volledige controle over de orchestrator en de data daarin. Het is al het derde VCO-lek dat Arista sinds eind juli als misbruikt meldt. Bij de eerdere twee waarschuwde Arista dat een gecompromitteerde orchestrator toegang kan geven tot VeloCloud Edge-apparaten. Of dat hier ook geldt, zegt het advisory niet. Orchestrators op releases die de eerdere lekken dichtten zijn nog steeds kwetsbaar.
Wat moeten IT-beheerders nu doen?
Upgrade on-premises omgevingen naar de gepatchte release en beperk de toegang tot de webinterface intussen tot vertrouwde beheernetwerken. Blokkeer de IP-adressen 74.82.197[.]86 en 38.54.50[.]151 en zoek ze terug in de logs. Let op webshells, achterdeurtjes, onverwacht uitgaand verkeer en recente wijzigingen door beheerders. Bij vermoeden van een compromis: bewaar eerst de logs en tijdstempels. Draai je een oudere, niet meer ondersteunde release, neem dan contact op met Arista TAC.
GitLab dicht kritiek lek met CVSS 10,0 dat zelfbeheerde installaties tot twaalf jaar terug raakt
| Kwetsbaarheid | Integer overflow bij het compileren van een speciaal gemaakte reguliere expressie in Onigmo, de regex-engine van Ruby die GitLab meelevert. Maakt code-uitvoering zonder authenticatie mogelijk op zelfbeheerde GitLab-servers, in alle releases vanaf 7.0 |
| CVE-nummer | CVE-2026-110264 |
| CVSS-score | 10,0 |
| Actief misbruikt | Nee, GitLab ziet geen aanwijzingen voor aanvallen en het lek stond op 22 oktober 2026 niet in de CISA KEV-catalogus |
| Patch beschikbaar | Ja, sinds 21 oktober 2026: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 en 18.11.13. Geen workaround |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens The Hacker News kan een aanvaller zonder account een speciaal gemaakte regex laten compileren, waarna de integer overflow code-uitvoering mogelijk maakt. GitLab zegt niet onder welke voorwaarden dat werkt. De fout is gemeld door een onderzoeker met de naam “joaxcar”, die in een maand al vier code-uitvoeringslekken in dezelfde regex-engine meldde. Eerdere fixes, zoals die van 12 oktober, dekten alleen versie 19.2 en hoger, dus ook bijgewerkte instances kunnen kwetsbaar zijn.
Wat kan het gevolg zijn?
Een GitLab-server bevat broncode, CI/CD-secrets en toegang tot productieomgevingen, dus overname is een opstapje naar klantomgevingen. GitLab.com en GitLab Dedicated zijn al gedekt; het risico zit bij zelfbeheerde installaties, die MSP’s vaak voor zichzelf of voor klanten draaien.
Wat moeten IT-beheerders nu doen?
Upgrade naar de gepatchte release van je branch. Een workaround ontbreekt. Op een single-node server geven 19.4.3 en 19.3.6 downtime door databasewijzigingen; bij multi-node kun je de zero-downtime-procedure volgen. GitLab publiceerde twee Sigma-regels (“Onigmo native worker crash” en “Org mode render error burst”) om in de applicatielogs te zoeken. Dezelfde release dicht tien andere kwetsbaarheden, waaronder een accountovername en een cache-poisoning-lek in OAuth/OpenID Connect.
