Twee kritieke beveiligingsupdates op één dag: PHP en YOOtheme Pro

21 oktober 2026

Twee kritieke security updates op één dag, en ook nog op hetzelfde moment. Woensdag 21 oktober 2026 om 16:00 uur Nederlandse tijd brengen zowel PHP als YOOtheme Pro 5 een release uit die een lek dicht waarmee een aanvaller zonder in te loggen code op je server kan uitvoeren. Hieronder lees je wat er aan de hand is, wat ik vandaag voor mijn klanten heb gedaan, en wat je zelf moet doen.

1. PHP: CVE-2026-109618 en CVE-2026-109619

Het PHP-team kondigde op 20 oktober een "critical security release" aan voor 21 oktober om 14:00 UTC. Het gaat om twee kwetsbaarheden in PHP zelf: CVE-2026-109618 en CVE-2026-109619, allebei beoordeeld met een CVSS v4.0-score van 9.2. Onderzoekers noemen de aanval php2shell: remote code execution, zonder dat de aanvaller een account nodig heeft.

Wat dit lek anders maakt dan een gewone lekke extensie: het zit niet in Joomla, WordPress of een plugin, maar in PHP. Elke PHP-applicatie is dus getroffen, van Joomla en WordPress tot Drupal en webshops. Het probleem ontstaat bij het verwerken van multipart/form-data, het formaat dat een browser gebruikt voor formulieren met een bestandsupload. PHP verwerkt zo'n verzoek voordat je CMS ook maar één regel code uitvoert. Een beveiligingsextensie in Joomla kan je hier dus niet tegen beschermen.

Ook een instelling in php.ini helpt niet. Op internet zie je het advies om session.upload_progress.enabled uit te zetten, maar volgens de PHP-ontwikkelaars is de enige echte oplossing: PHP bijwerken.

1.1 Welke versies?

De officiële lijst met getroffen en gerepareerde versies publiceert PHP pas samen met de release. Wat nu bekend is:

PHP-versie	Status
8.5	Fix in 8.5.12
8.4	Fix in 8.4.27
8.3	Fix in 8.3.36
8.2	Fix in 8.2.35
8.1 en ouder (ook 7.4)	End-of-life: geen officiële fix

De versienummers komen uit berichten van vóór de release. Controleer ze op php.net zodra de release uit is. Volgens CERT-EU kan alles vanaf PHP 5 kwetsbaar zijn, en Cloudflare zag de ochtend van 21 oktober al de eerste aanvallen, dus voordat de patch er was.

Gebruik je de PHP-pakketten van je Linux-distributie, kijk dan ook naar de security advisories van je distributie: die backporten fixes soms naar een ouder versienummer.

1.2 Websites met persoonsgegevens tijdelijk offline

Een paar klanten hebben websites waarop persoonsgegevens van hun eigen klanten of cliënten staan. Daar wilde ik geen risico nemen in de uren tussen "de aanvallen zijn begonnen" en "de patch is geïnstalleerd". Met die klanten heb ik afgesproken de website tijdelijk offline te halen en een voorzetscherm te tonen. Een paar uur geen website is vervelend. Een datalek met cliëntgegevens is veel erger, en dan moet je ook nog melden bij de Autoriteit Persoonsgegevens.

1.3 Oude PHP-versies op mijn VPS-servers

Omdat alleen PHP 8.2 en hoger een security update krijgt, heb ik op mijn VPS-servers geprobeerd alle sites met een oudere PHP-versie te upgraden naar 8.2 of hoger. Voor de meeste sites lukte dat.

Een paar sites moeten om technische redenen nog even op PHP 7.4 blijven. Daar komt nooit een fix meer voor. Op die Nginx-servers heb ik de configuratie zo aangepast dat formulieren met multipart/form-data niet meer worden doorgestuurd naar PHP. Daarmee komt het kwetsbare deel van PHP niet meer aan de beurt:

if ($http_content_type ~* "multipart/form-data") {
    return 403;
}

Dit is een noodverband, geen oplossing. Elk formulier met een bestandsupload werkt niet meer, en dat geldt ook voor het uploaden van afbeeldingen in de mediabeheerder van Joomla. De enige echte oplossing is updaten naar een PHP-versie die nog security updates krijgt.

2. YOOtheme Pro 5: CVE-2026-102785

Diezelfde middag verscheen YOOtheme Pro 5.0.53. De changelog is kort:

## 5.0.53 (October 21, 2026)
### Security
CVE-2026-102785: Fix unauthenticated remote code execution via image handler

Ook hier dus remote code execution zonder inloggen, deze keer via de code die in YOOtheme Pro afbeeldingen verwerkt. Technische details zijn nog niet gepubliceerd.

2.1 Welke versies?

Alleen YOOtheme Pro 5 is getroffen: van 5.0.0 tot en met 5.0.52. Volgens YOOtheme zijn versie 4 en ouder niet kwetsbaar voor dit lek. Er is geen tijdelijke workaround; updaten is de enige oplossing. Update via Systeem > Bijwerken > Extensies in Joomla, of in WordPress via het Updates-scherm. Controleer daarna in de customizer van YOOtheme Pro of er echt 5.0.53 staat.

2.2 Klanten vooraf geïnformeerd

Bij klanten met een onderhoudscontract update ik YOOtheme Pro zelf. Klanten zonder onderhoudscontract heb ik vooraf een bericht gestuurd over de security update van 16:00 uur, zodat ze direct na de release zelf kunnen updaten en niet pas over een week toevallig de melding zien.

3. Wat moet je doen?

Het gaat om twee losse problemen. Een update van Joomla of YOOtheme Pro doet niets aan het lek in PHP, en een PHP-update repareert YOOtheme Pro niet. Je moet dus allebei controleren.

Maak een back-up van je bestanden en database voordat je iets bijwerkt.
Zoek uit welke PHP-versie je site gebruikt: in Joomla via Systeem > Systeeminformatie.
PHP 8.2 of hoger: installeer de nieuwe release. Zit je bij een hostingprovider, vraag dan wanneer de patch geïnstalleerd wordt. Dat je in het hostingpanel "PHP 8.3" kunt kiezen, betekent nog niet dat de gerepareerde 8.3 al op de server staat.
PHP 8.1 of ouder: upgrade. Kan dat niet direct, blokkeer dan multipart/form-data op de webserver of haal de site tijdelijk offline.
YOOtheme Pro 5: update naar 5.0.53. Gebruik je versie 4 of ouder, dan hoef je voor dit lek even niets te doen.
Test je website na de updates: formulieren, afbeeldingen, de backend en koppelingen met andere systemen.
Controleer of je site al gehackt is. De aanvallen begonnen vóór de patch, en een update verwijdert geen bestanden die een aanvaller al heeft neergezet. Kijk naar onbekende PHP-bestanden, gewijzigde bestanden, nieuwe beheerders in Gebruikers > Beheren, en verdachte verzoeken in de serverlogs.

Twee lekken van deze ernst op dezelfde dag is uitzonderlijk. Het goede nieuws is dat je ze allebei kunt dichten met een update, mits je software nog ondersteund wordt. Twijfel je welke PHP-versie je site draait, of wil je dat iemand meekijkt bij een upgrade van PHP 7.4? Bij db8 Website Support is dat dagelijks werk.