Op 21 oktober 2026 bracht het PHP-ontwikkelteam de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit. Ze dichten twee kritieke lekken, CVE-2026-109618 en CVE-2026-109619, waarmee een aanvaller zonder inloggen code op een webserver kan uitvoeren. Beveiligingsbedrijven Calif en Wiz vonden de lekken met AI-modellen, waaronder GPT-5.6 Sol en Gemini 4 Argon. De NSA adviseerde om sites die niet direct konden bijwerken offline te halen, en in Japan en Europa gingen websites van banken, spoorwegen en ministeries tijdelijk uit de lucht.
Wie meldt onder artikel 14 CRA
De lekken vallen in de eerste weken van de meldplicht van artikel 14 Cyberweerbaarheidsverordening, die sinds 11 september 2026 geldt, ook voor producten die al eerder op de markt waren. De plicht ligt bij de fabrikant van een product waarin PHP zit, zoals een router, een opslagapparaat met een webinterface of commerciële software. Weet hij dat het lek in zijn product actief wordt misbruikt, dan volgt binnen 24 uur een vroegtijdige waarschuwing aan de coördinerende CSIRT en ENISA, binnen 72 uur een melding en na de herstelmaatregel een eindverslag. Een organisatie die PHP duurzaam ondersteunt, kan als open-source-steward onder het lichtere regime van artikel 24 vallen als zij aan de voorwaarden van artikel 3, punt 14, voldoet; stewards riskeren geen boete en hun meldplicht geldt pas vanaf 11 december 2027.
Wat de Cyberbeveiligingswet van websitebeheerders vraagt
Een gemeente, ziekenhuis of bedrijf dat alleen een website draait, is daarmee nog geen fabrikant. Valt de organisatie onder de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt, dan heeft zij een zorgplicht om software tijdig bij te werken en meldt zij een significant incident binnen 24 uur. Voor producten die na 9 december 2026 in de handel komen, geldt bovendien de nieuwe productaansprakelijkheidsrichtlijn, die software als product behandelt en een fabrikant die het product onder controle houdt bij door de richtlijn gedekte schade aansprakelijk kan maken voor een ontbrekende veiligheidsupdate.
Wat in het leverancierscontract hoort
Het artikel verbindt de AI-ontdekking van de lekken met de AI Act, de Cyberweerbaarheidsverordening, NIS2 en het aansprakelijkheidsrecht, en sluit af met een checklist voor leverancierscontracten: een informatietermijn die past bij de 24 uur van artikel 14, een maximale termijn voor updates na een open-sourcepatch, een opgave van componenten, een supportperiode en een kostenregeling als een dienst uit voorzorg offline gaat.
Meer lezen