Deze week kwam er een ernstig beveiligingsprobleem in PHP aan het licht, een veelgebruikte programmeertaal voor websites. Hieronder lees je wat er aan de hand is en wat het betekent voor je Odoo.
Wat is er aan de hand?
Het PHP-team bracht op 21 oktober dringende updates uit voor twee kritieke lekken, CVE-2026-109618 en CVE-2026-109619.
Ze kunnen een aanvaller zonder inloggegevens toelaten om op afstand code uit te voeren op een kwetsbare webserver. De lekken staan bekend als PHP2shell. Bovendien raakten de details al online bekend vóór er een patch beschikbaar was.
Ze kunnen een aanvaller zonder inloggegevens toelaten om op afstand code uit te voeren op een kwetsbare webserver. De lekken staan bekend als PHP2shell. Bovendien raakten de details al online bekend vóór er een patch beschikbaar was.
De impact is groot: elke PHP-versie van het voorbije decennium is kwetsbaar, tot en met versie 5.4 terug. Naast het overnemen van servers kan het lek ook het werkgeheugen van de server blootleggen. Daarin kunnen gevoelige gegevens zitten, zoals wachtwoorden of API-tokens. De oplossing is updaten naar PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35.
Wat betekent dit voor Odoo?
Odoo zelf is niet getroffen. Odoo is volledig geschreven in Python en gebruikt geen PHP.
Ook de servers zijn in orde. Op Odoo Online en Odoo.sh beheert Odoo zelf de beveiliging. Bij een on-premise installatie doet je hostingprovider dat. De servers van de omgevingen die Obycron beheert hebben we gecontroleerd: daar draait geen PHP. Je hoeft voor je Odoo-omgeving zelf dus niets te doen.
Aandachtspunt: koppelingen met externe systemen
Soms is Odoo gekoppeld aan een extern systeem, zoals een webshop, website of portaal. Het kan zijn dat zo’n systeem in PHP geschreven is. Werd het getroffen, dan kunnen de API-tokens die het gebruikt om met Odoo te communiceren, blootgesteld zijn.
Uit voorzorg gaan we in dat geval als volgt te werk:
- We trekken de bestaande API-token(s) tussen Odoo en het externe systeem in.
- Zodra de leverancier PHP heeft bijgewerkt, maken we een nieuwe token aan en bezorgen we die aan de leverancier.
- Gebruikt Odoo zelf een token om met het externe systeem te verbinden, dan vragen we de leverancier om na de update ook die token te vernieuwen.
Heb je na het lezen nog vragen? Dan kan je rekenen op ons support team