Alle storingen en onderhoudsmeldingen

php2shell (CVE-2026-109618 en CVE-2026-109619)

Op 20 oktober zijn twee kritieke kwetsbaarheden in PHP aangekondigd, geregistreerd als CVE-2026-109618 en CVE-2026-109619. Deze kwetsbaarheden hebben een CVSS-score van 9.2 en kunnen misbruikt worden om op afstand code uit te voeren op een server, zonder dat hiervoor authenticatie vereist is. De kwetsbaarheden treffen alle PHP-versies vanaf PHP 5. Op dit moment zijn nog niet alle technische details bekend.

Indien je gebruik maakt van PHP adviseert CERT-EU om publiekelijk toegankelijke applicaties tijdelijk af te schermen van het internet totdat beveiligingsupdates zijn uitgebracht en toegepast.
Als je gebruik maakt van PHP 8.1 of lager adviseren we je om de website zo spoedig mogelijk compatibel te maken met 8.2 of hoger, en de PHP versie te verhogen.

De PHP-ontwikkelaars verwachten de beveiligingsupdates op 21 oktober om 16:00 uur Nederlandse tijd beschikbaar te stellen. Onze systeembeheerders zitten er bovenop, en zullen direct alle servers updaten zodra de update live gaat.
Let op: Indien je een Unmanaged server hebt, ben je zelf verantwoordelijk voor het updaten van PHP.

Indien je besluit je applicaties niet af te schermen, kan het opnemen van onderstaande instellingen in php.ini de attack surface mogelijk verkleinen.

session.upload_progress.enabled = Off
session.use_strict_mode = 1

Meer informatie vind je in het beveiligingsadvies van CERT-EU:
https://cert.europa.eu/publications/security-advisories/2026-018/

Met vriendelijke groet,
Vimexx

Update:

Momenteel zijn we druk bezig met het updaten van onze volledig infrastructuur, en een groot gedeelte hiervan is al klaar en veilig. Wat betreft de webservers staan meerdere systeembeheerders in de aanslag om het volledige platform direct up-to-date te brengen zodra CloudLinux de patch live zet. Daarnaast zijn er enkele firewall regels actief gezet die de toegang tot de exploit versmallen, maar misbruik ervan niet volledig kunnen voorkomen.
We houden jullie op de hoogte!

Update:

Ondanks dat er slechts enkele packages door CloudLinux gereleased zijn, en nog lang niet alle PHP versies geüpdatet zijn, zijn we alvast met een eerste update-ronde begonnen, om dit op een later moment opnieuw te doen voor de overige versies. Echter blijkt dat de repositories momenteel extreem traag zijn, doordat deze overbelast zijn. Sommige updates lopen hierdoor al meer dan 2h30m, en zijn nog maar op 1/4 van het totale proces. Enkele andere servers hebben al wel een eerste update-ronde gehad, maar gezien de traagheid van het proces lijkt het ons verstandig om hiermee eerst te wachten tot alle updates uitgerold zijn, zodat we niet op half afgeronde processen moeten wachten om laat in de nacht nogmaals een nieuwe ronde aan te moeten zetten. Voor het uitrollen van de updates kan intussen de statuspagina van CloudLinux in de gaten gehouden worden: https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5 

Update (20:40):

De beveiligingsupdates van CloudLinux komen inmiddels druppelsgewijs binnen. Door de wereldwijde drukte bij de leveranciers gaat dit trager dan verwacht, en nog niet alle patches zijn vrijgegeven. Zodra er een update binnenkomt, gaan we er direct mee aan de slag. We zijn begonnen met het voorzien van de eerste servers van de patch en werken ze één voor één bij.
Goed nieuws: CloudLinux heeft laten weten dat er patches komen voor alle PHP-versies van 5.2 tot en met 8.5. Volgens CloudLinux verschijnen die naar verwachting binnen ongeveer 5 uur. Zodra ze beschikbaar zijn, voeren we ze door.
Dit duurt helaas langer dan we hadden gehoopt. Onze engineers werken indien nodig de hele nacht door om de updates zo snel mogelijk af te ronden.
Wil je je website in de tussentijd extra beschermen? Dan kun je je website tijdelijk afschermen (zie hierboven). Gebruik je een oude PHP-versie? Dan raden we je, los van deze patch, aan om over te stappen naar PHP 8.2 of hoger.
We houden jullie op de hoogte!

Update (01:15):

Inmiddels komen eindelijk de laatste updates binnen, en zijn we daarom druk bezig met het installeren hiervan op al onze servers. Sommige servers zullen al de nieuwste software hebben, en we gaan niet eerder slapen dan wanneer dit op alle servers het geval is!

Update (04:15):

PHP is inmiddels op alle servers volledig up-to-date, daarnaast hebben we van de gelegenheid gebruik gemaakt om op servers waar dit beschikbaar was ook nieuwere PHP versies te installeren.