Een CVE is een officieel nummer voor één bekend beveiligingsprobleem in software, zodat iedereen het over hetzelfde probleem heeft. Vind je zo’n nummer in een melding van je hostingpartijWebhosting is de dienst die jouw website op een computer zet die altijd aan staat en met internet verbonden is, zodat bezoekers hem kunnen openen. of beveiligingstool, dan kun je opzoeken wat er aan de hand is en of jouw site geraakt wordt.
Wat is een CVE?
CVE staat voor Common Vulnerabilities and Exposures. Het nummer zelf lost niets op, maar het is de draad die elke melding, update en scanwaarschuwing over die ene zwakke plek aan elkaar knoopt.
Elk CVE-nummer heeft hetzelfde format: de letters CVE, het jaar waarin het nummer is gereserveerd en een volgnummer. Achter dat nummer zit een CVE-record met een korte beschrijving van de kwetsbaarheidEen kwetsbaarheid is een zwakke plek in software waar een aanvaller misbruik van kan maken, zoals een deur die niet goed op slot gaat., het getroffen product, de getroffen versies en verwijzingen naar bronnen, zoals de security advisoryEen security advisory is een officiële melding van de maker van software over een beveiligingsprobleem en wat je eraan moet doen. van de maker.
Het CVE-programma werkt als een gedeeld systeem. Organisaties die CVE Numbering Authorities (CNA’s) heten, mogen nummers uitgeven en records publiceren voor hun eigen producten of een afgesproken gebied. Veel opensourceprojecten zijn hun eigen CNA, dus het record komt rechtstreeks van de mensen die de code het best kennen.
Wat een CVE-record je niet vertelt
Een CVE-record is bewust kort. Het zegt niet of aanvallers de fout gebruiken, hoe makkelijk hij op jouw server uit te buiten is, of wat je stap voor stap moet doen. Die informatie komt uit andere bronnen. De ernst staat meestal als CVSSCVSS is een cijfer van 0 tot 10 dat aangeeft hoe ernstig een beveiligingsprobleem is: hoe hoger het cijfer, hoe groter het risico.-score, geleverd door de CNA of later toegevoegd door de NVDDe NVD is de openbare database van de Amerikaanse overheid met bekende beveiligingsproblemen in software, aangevuld met scores en uitleg.. Bewijs van misbruik in de praktijk staat in lijsten zoals CISA KEVCISA KEV is een lijst van de Amerikaanse overheidsdienst CISA met beveiligingsproblemen die aanvallers aantoonbaar echt hebben gebruikt..
Hoe CVE’s spelen bij PHP-sites
PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. zelf, de PHP-extensies op je server en de WordPress-plugins of -thema’s die je draait kunnen allemaal een CVE krijgen. Een CVE in PHP raakt de taal op de server, dus elke site op die PHP-installatie kan in beeld zijn, welk CMSEen contentmanagementsysteem (CMS) is een programma waarmee je teksten en afbeeldingen op je website zelf aanpast, zonder te hoeven programmeren. je ook gebruikt.
Een recent voorbeeld: op 21 oktober 2026 bracht het PHP-project PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit. De PHP Group publiceerde CVE-2026-109618 en CVE-2026-109619 op cve.org. Beide records noemen als getroffen: 8.2 vóór 8.2.35, 8.3 vóór 8.3.36, 8.4 vóór 8.4.27 en 8.5 vóór 8.5.12. De pers noemt dit tweetal PHP2Shell. De CVE-records geven elk een CVSS v4.0-score van 9.2.
Dezelfde melding laat zien waarom het veld met getroffen versies niet het hele verhaal is. PHP 8.1 en ouder krijgen geen updates meer van het PHP-project en staan niet in de records, maar het PHP-securityteam publiceerde minimale bronpatches voor 7.4, 8.0 en 8.1. Ga er dus van uit dat die versies ook geraakt worden.
Zo lees je een CVE in de praktijk
Verschijnt er een nieuwe CVE voor software die je gebruikt, dan tellen drie vragen. Welke versie draai je? Een CVE geldt alleen voor de versies die hij noemt, dus je moet je exacte PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. en de versies van je plugins kennen. Is er een opgeloste versie? De advisory waarnaar het record verwijst, noemt meestal de versie die het gat dicht. Kun je die veilig installeren? Op een draaiende bedrijfssite betekent dat: een back-upEen back-up is een kopie van je hele website, apart bewaard, zodat je hem kunt terugzetten als er iets misgaat., een test en een weg terug.
Weet je niet welke PHP-versie je site draait, dan leest de gratis PHP exposure check de openbare headers van je site en laat zien wat er van buiten te zien is. Voor de actuele stand van de PHP-lekken van oktober 2026, met elk feit voorzien van bron en tijdstip, kijk je op de pagina over PHP2Shell, waar je ook hulp kunt vragen.
Wanneer je actie moet ondernemen
Een CVE met een hoge score in software die je echt draait, is een reden om de update nu in te plannen in plaats van bij het volgende onderhoudsmoment. Draait je site een PHP-versie die voorbij end of lifeEnd of life (EOL) betekent dat de maker een versie van software niet meer bijwerkt, ook niet als er een beveiligingsprobleem wordt gevonden. is, dan krijgen nieuwe CVE’s in PHP voor jouw tak helemaal geen officiële oplossing meer, en elk nieuw record vergroot de achterstand. Dat is het moment om over te stappen naar een ondersteunde versie met onze hulp bij je PHP-versie updaten, met een test op een stagingomgevingEen stagingomgeving is een afgeschermde kopie van je website waarop je updates uitprobeert voordat ze live gaan. en een plan om terug te draaien.
Veelgestelde vragen
Is elke CVE gevaarlijk voor mijn website?
Nee. Een CVE zegt alleen dat er een kwetsbaarheid bestaat in een product en welke versies geraakt zijn. Of het jou raakt, hangt af van de vraag of je een getroffen versie draait en of het kwetsbare onderdeel op jouw opzet bereikbaar is.
Wie geeft CVE-nummers uit?
CVE-nummers komen van CVE Numbering Authorities (CNA's), organisaties die daarvoor toestemming hebben van het CVE-programma. Veel softwareprojecten zijn zelf CNA. Voor de twee PHP-kwetsbaarheden die op 21 oktober 2026 zijn verholpen, publiceerde de PHP Group de records op cve.org.
Betekent een CVE dat de kwetsbaarheid wordt misbruikt?
Nee. Een CVE-record beschrijft de zwakke plek, geen aanvallen. Bewijs van misbruik in de praktijk wordt apart bijgehouden, bijvoorbeeld in de CISA-catalogus Known Exploited Vulnerabilities. Dat een CVE daar niet in staat, bewijst niet dat niemand hem misbruikt.
Waar zoek ik een CVE op?
Begin bij het record op cve.org en lees daarna de security advisory van de softwaremaker voor de opgeloste versies en het updateadvies. De NVD voegt later een eigen analyse toe, wat even kan duren.