WooCommerce webshop
Webhosting Nederland
Webhosting Belgie
Webhosting Duitsland
Webhosting Engeland
Op 20 oktober 2026 zijn twee kritieke kwetsbaarheden in PHP bekendgemaakt: CVE-2026-109618 en CVE-2026-109619, ook bekend onder de naam php2shell. Deze kwetsbaarheden kunnen aanvallers onder bepaalde omstandigheden de mogelijkheid geven om op afstand code uit te voeren op een server.
Vimexx heeft de beveiligingsupdates voor alle PHP-versies op onze webhostingservers en managed servers geïnstalleerd. In dit artikel leggen we uit wat er speelde, welke maatregelen we hebben genomen en wat je zelf moet controleren.
Inhoudsopgave
- 1. Wat speelde er?
- 2. Wat heeft Vimexx gedaan?
- 3. Waarom is mijn PHP-versienummer niet veranderd?
- 4. Wat moet je zelf doen?
- 5. Kritieke fout of 500-error na het wijzigen van je PHP-versie
- 6. Moet ik mijn website tijdelijk afschermen?
- 7. Wat valt onder het beheer van Vimexx en wat onder jouw verantwoordelijkheid?
- 8. Veelgestelde vragen
- 9. Meer informatie
1. Wat speelde er?
Op 20 oktober 2026 werden twee kritieke kwetsbaarheden in PHP bekendgemaakt. Beide kwetsbaarheden kregen een CVSS-score van 9,2 op een schaal van 10.
De kwetsbaarheden konden, afhankelijk van de omstandigheden, worden misbruikt om op afstand code uit te voeren op een server zonder dat daarvoor authenticatie nodig was. De kwetsbaarheden betroffen PHP-versies vanaf PHP 5.
Omdat PHP door veel websites en webapplicaties wordt gebruikt, was het belangrijk om zo snel mogelijk passende beveiligingsmaatregelen te treffen. CloudLinux, de leverancier van de PHP-versies die via DirectAdmin worden aangeboden, bracht de benodigde beveiligingsupdates gefaseerd uit.
2. Wat heeft Vimexx gedaan?
Zodra de eerste informatie over de kwetsbaarheden bekend was, zijn onze systeembeheerders begonnen met het treffen van maatregelen.
- Tijdelijke beveiligingsmaatregelen: we hebben firewallregels ingesteld om de mogelijkheden om misbruik te maken van de kwetsbaarheden te beperken. Deze maatregelen verkleinden het risico, maar vormden op zichzelf geen volledige oplossing.
- Beveiligingsupdates uitgerold: zodra CloudLinux de benodigde updates beschikbaar stelde, zijn we begonnen met het bijwerken van onze servers.
- Gefaseerde installatie: de updates kwamen niet allemaal tegelijk beschikbaar. Ook waren de repositories van de leverancier zwaar belast, waardoor sommige installaties langer duurden.
- Updates afgerond: de beveiligingsupdates zijn geïnstalleerd voor alle PHP-versies op onze webhostingservers en managed servers.
De beveiligingsupdates zijn inmiddels op deze servers geïnstalleerd. Je hoeft hiervoor geen ticket bij onze supportafdeling in te dienen.
De actuele meldingen en de tijdlijn vind je op onze statuspagina's:
Waarom was de update niet direct overal beschikbaar?
De benodigde updates moesten door de leverancier worden uitgebracht voor de verschillende PHP-versies. Dit gebeurde gefaseerd. Door de drukte en de hoge belasting van de repositories verliep de verspreiding bovendien trager dan verwacht. Onze systeembeheerders hebben de updates verwerkt zodra deze beschikbaar waren.
3. Waarom is mijn PHP-versienummer niet veranderd?
Zie je in DirectAdmin bij Advanced Features → Select PHP Version nog hetzelfde versienummer als vóór de beveiligingsupdate? Dat is mogelijk en betekent niet dat de beveiligingsupdate ontbreekt.
CloudLinux heeft de beveiligingsfix voor de betreffende PHP-versies verwerkt zonder het zichtbare PHP-versienummer te veranderen.
Een voorbeeld:
- Vóór de update: PHP 8.3.35
- Na de update: PHP 8.3.35, met de beveiligingsfix
Het versienummer blijft dus hetzelfde, terwijl de onderliggende PHP-build wel is bijgewerkt. Een hoger versienummer, zoals PHP 8.3.36, kan zichtbaar zijn bij de standaard PHP-versie van de server.
Hoe controleer ik of de beveiligingsupdate is geïnstalleerd?
Je kunt dit controleren aan de hand van de builddatum in een phpinfo-overzicht. Hiermee bekijk je informatie over de PHP-versie en de configuratie die je website gebruikt.
Volg hiervoor deze stappen:
- Log in op DirectAdmin en open de map
public_htmlvan je domeinnaam. - Maak een nieuw bestand aan met de naam
phpinfo.php. - Plaats de volgende regel in het bestand en sla het op:
<?php phpinfo(); - Open het bestand in je browser via
https://jouwdomein.nl/phpinfo.php. Vervangjouwdomein.nldoor je eigen domeinnaam. - Zoek op de pagina naar Build Date en controleer de vermelde datum.
Staat bij Build Date 21 oktober 2026 of een latere datum? Dan herken je daaraan de bijgewerkte PHP-build.
Belangrijk: verwijder het bestand phpinfo.php direct nadat je de controle hebt uitgevoerd. Het bestand toont technische informatie over je hostingomgeving die je niet openbaar beschikbaar wilt hebben.
Controleer altijd de PHP-configuratie die daadwerkelijk voor je website wordt gebruikt. De standaard PHP-versie van de server kan verschillen van de versie die je in DirectAdmin voor je website hebt geselecteerd. Lukt het niet om deze controle zelf uit te voeren? Vraag dan je webmaster of webbouwer om hulp.
4. Wat moet je zelf doen?
De acties die nodig zijn, hangen af van je PHP-versie, je type server en het beheer van je website.
Gebruik je PHP 8.1 of lager?
We adviseren om zo snel mogelijk over te stappen naar PHP 8.2 of hoger. Oudere PHP-versies kunnen naast deze kwetsbaarheden ook andere beveiligingsrisico's met zich meebrengen.
Controleer vooraf of je website geschikt is voor de gekozen PHP-versie. Je kunt de PHP-versie in DirectAdmin wijzigen via Advanced Features → Select PHP Version.
Handleidingen:
Heb je meerdere domeinen in je hostingpakket? Dan kun je de PHP-versie per domeinnaam instellen, afhankelijk van de mogelijkheden van je pakket.
Maak vooraf een back-up en controleer of je website compatibel is met de nieuwe PHP-versie. Zo kun je je websitebestanden en database herstellen als er tijdens het wijzigen iets misgaat.
Let op: een back-up terugzetten zet je PHP-versie niet terug. Als je website niet goed werkt na het wijzigen van de PHP-versie, kun je de PHP-versie zelf aanpassen via DirectAdmin bij Advanced Features → Select PHP Version.
Krijg je na de wijziging een kritieke fout of een 500-error? Bekijk dan het hoofdstuk Kritieke fout of 500-error na het wijzigen van je PHP-versie voor uitleg over het opsporen van de oorzaak.
Houd je CMS en plugins up-to-date
Zorg ervoor dat je website, CMS, thema's en plugins actueel zijn. Dit geldt bijvoorbeeld voor WordPress-websites.
Een bijgewerkte PHP-versie is belangrijk, maar vervangt niet het reguliere onderhoud van je website.
Heb je een VPS of dedicated server?
Managed VPS of managed dedicated server
Vimexx verzorgt het beheer van de server en heeft de beveiligingsupdates voor de beheerde PHP-versies uitgevoerd. Je hoeft de update daarom niet zelf op de server uit te voeren.
Unmanaged VPS of unmanaged dedicated server
Bij een unmanaged server ben je zelf verantwoordelijk voor het beheer en de beveiliging van de server. Vimexx voert de PHP-beveiligingsupdate hier niet voor je uit. Controleer zelf of de gebruikte PHP-versie is bijgewerkt en installeer de benodigde beveiligingsupdates.
5. Kritieke fout of 500-error na het wijzigen van je PHP-versie
Krijg je na het wijzigen van je PHP-versie een melding zoals 'Kritieke fout' of een 500-error op je website? Dan komt dit mogelijk doordat een plugin of thema niet compatibel is met de gekozen PHP-versie.
Via de foutlog in DirectAdmin kun je achterhalen waar de fout vandaan komt. Raadpleeg hiervoor onze handleiding: De foutlog bekijken in DirectAdmin .
Gebruik je WordPress en krijg je een kritieke fout of een 500-error op je website? Bekijk dan ook onze handleiding voor het oplossen van een kritieke fout op je WordPress-website:
Handleiding: Kritieke fout op je WordPress-website
Je kunt ervoor kiezen om een eerdere PHP-versie te gebruiken waarmee je website wel werkt. We raden dit echter sterk af, omdat je hiermee mogelijk beveiligingsupdates mist. Het is beter om te achterhalen welk onderdeel de fout veroorzaakt en dit bij te werken of te vervangen.
Een plugin tijdelijk uitschakelen
Om te achterhalen welke plugin de fout veroorzaakt, kun je deze tijdelijk uitschakelen via DirectAdmin. Ga hiervoor naar de volgende map:
/domains/jouwdomeinnaam/public_html/wp-content/plugins
In deze map vind je de mappen van je geïnstalleerde plugins. Zoek de map van de plugin die de fout veroorzaakt en hernoem deze door _old achter de naam te zetten.
Bijvoorbeeld:
- Oorspronkelijke naam:
mijnplugin - Nieuwe naam:
mijnplugin_old
Hiermee schakel je de plugin uit. Controleer daarna of je website weer werkt. Schakel alleen de plugin uit die de fout veroorzaakt. Het uitschakelen van een plugin kan ervoor zorgen dat bepaalde functies van je website tijdelijk niet werken.
Een thema tijdelijk uitschakelen
Vermoed je dat het probleem door je WordPress-thema wordt veroorzaakt? Dan kun je op vergelijkbare wijze de themamap controleren. De locatie hiervan is:
/domains/jouwdomeinnaam/public_html/wp-content/themes
Zoek de map van het betreffende thema en hernoem deze door _old achter de naam te zetten.
Houd er rekening mee dat WordPress een ander bruikbaar thema nodig heeft om je website correct weer te geven. Blijft de fout bestaan of weet je niet welk onderdeel het probleem veroorzaakt? Neem dan contact op met je webmaster of webbouwer.
6. Moet ik mijn website tijdelijk afschermen?
Tijdens de periode waarin de beveiligingsupdates nog niet overal beschikbaar waren, adviseerde CERT-EU om publiekelijk toegankelijke applicaties tijdelijk af te schermen totdat de updates waren uitgebracht en geïnstalleerd.
Omdat de beveiligingsupdates inmiddels op onze webhostingservers en managed servers zijn geïnstalleerd, is deze tijdelijke maatregel voor deze specifieke update niet meer standaard nodig.
Gebruik je een unmanaged server waarop de update nog niet is uitgevoerd? Dan moet je zelf beoordelen welke maatregelen nodig zijn. Het tijdelijk afschermen van de website kan een aanvullende voorzorgsmaatregel zijn, maar vervangt de beveiligingsupdate niet.
Als je een website tijdelijk met een wachtwoord wilt afschermen, kun je hiervoor de map public_html beveiligen via DirectAdmin.
Handleidingen:
Gebruik hiervoor niet uitsluitend een onderhoudsplugin in WordPress. Een dergelijke plugin kan de website voor bezoekers verbergen, maar betekent niet automatisch dat de onderliggende PHP-code niet meer bereikbaar is.
7. Wat valt onder het beheer van Vimexx en wat onder jouw verantwoordelijkheid?
Het is belangrijk om onderscheid te maken tussen het beheer van de hostingomgeving en het beheer van je website.
Vimexx is verantwoordelijk voor de beheerde serveromgeving. Dat omvat de beveiligingsupdates voor de PHP-versies op onze webhostingservers en managed servers.
Je bent zelf verantwoordelijk voor het onderhoud van je website, eventueel samen met je webmaster of webbouwer.
Denk hierbij aan:
- Het kiezen van een geschikte en ondersteunde PHP-versie.
- Het bijwerken van je CMS, zoals WordPress.
- Het bijwerken van plugins, thema's en andere onderdelen van je website.
- Het controleren of je website goed blijft werken na een wijziging van de PHP-versie.
- Het beheer en de beveiliging van een unmanaged VPS of dedicated server.
Heb je je website door een webbouwer laten maken of onderhouden? Neem dan contact op met deze partij als je hulp nodig hebt bij het controleren of bijwerken van je website.
8. Veelgestelde vragen
Mijn PHP-versienummer is nog hetzelfde. Is mijn website dan wel beveiligd?
Dat kan zeker. CloudLinux heeft de beveiligingsfix verwerkt in de bestaande PHP-versies zonder het versienummer te wijzigen. Controleer de builddatum in phpinfo. Een datum van 21 oktober 2026 of later is de indicatie van de bijgewerkte build.
Moet ik mijn PHP-versie wijzigen om de beveiligingsfix te krijgen?
Niet uitsluitend vanwege deze beveiligingsupdate. De beveiligingsfix is verwerkt in de bestaande PHP-versies op onze webhostingservers en managed servers. Gebruik je PHP 8.1 of lager? Dan adviseren we je wel om over te stappen naar PHP 8.2 of hoger, mits je website hiervoor geschikt is.
Moet ik Vimexx vragen om mijn server bij te werken?
Nee, niet als je gebruikmaakt van onze webhosting of een managed VPS of managed dedicated server. De beveiligingsupdates zijn op de betreffende beheerde servers uitgevoerd. Voor unmanaged servers ben je zelf verantwoordelijk.
Kunnen jullie mijn website controleren of de PHP-versie voor mij wijzigen?
Wij beheren de hostingomgeving, maar het controleren, aanpassen en onderhouden van je website valt onder jouw verantwoordelijkheid. Je kunt hiervoor zelf aan de slag met onze handleidingen of contact opnemen met je webmaster of webbouwer.
Is mijn website volledig veilig nu de update is geïnstalleerd?
De beveiligingsupdate verhelpt de betreffende PHP-kwetsbaarheden in de bijgewerkte PHP-build. Dit is geen garantie dat een website als geheel vrij is van beveiligingsrisico's. Houd daarom ook je CMS, plugins, thema's en overige software actueel.
9. Meer informatie
De actuele informatie over de PHP-kwetsbaarheden en de uitgevoerde werkzaamheden vind je op onze statuspagina's:
Voor aanvullende uitleg over het instellen van PHP, het beheren van back-ups en het onderhouden van je website kun je terecht in onze kennisbank.