Cobytes Status
Beveiligingsmelding: twee kritieke kwetsbaarheden in PHP
Update
Het bijwerken van onze CloudLinux-servers duurt langer. CloudLinux brengt de aangepaste PHP-pakketten gefaseerd uit. Voor een deel van de versies zijn deze inmiddels beschikbaar, maar nog niet voor alle PHP-versies die we gebruiken.
We wachten op de benodigde pakketten en installeren deze zodra ze beschikbaar zijn, naar verwachting brengt CloudLinux de updates om 21:00 vanavond uit. Daarna controleren we de betreffende servers.
De eerder uitgerolde tijdelijke beveiligingsmaatregel blijft actief. Deze beperkt het risico, maar vervangt de beveiligingsupdates niet.
Heb je vragen over jouw server? Neem dan contact op via [email protected].
Alle managed LEMP-servers zonder DirectAdmin waarop PHP 8.2 of hoger draait, zijn inmiddels voorzien van de beveiligingsupdates en gecontroleerd.
Deze update geldt uitsluitend voor deze groep servers. Over de voortgang van de overige systemen houden we je via deze statuspagina op de hoogte.
Heb je vragen over jouw server? Neem dan contact op via [email protected].
De patches voor PHP staan klaar. We starten nu met het installeren van de beveiligingsupdates op onze servers om de gemelde kwetsbaarheden te verhelpen.
https://www.php.net/archive/2026.php#2026-10-21-5
Na het bijwerken controleren we of alles goed werkt en beoordelen we of de uit voorzorg uitgeschakelde systemen veilig weer online kunnen. Via de bijbehorende statusmeldingen laten we je weten zodra deze weer beschikbaar zijn.
Meer informatie over de release vind je in de officiële aankondiging van PHP.
Heb je vragen? Neem dan contact op via [email protected].
Rond 12:00 is de tijdelijke beveiligingsmaatregel is inmiddels uitgerold op al onze servers waarop PHP draait. De PHP-instelling session.upload_progress.enabled is uitgeschakeld.
Deze maatregel is bedoeld om één van de mogelijke aanvalsroutes te blokkeren. Dit biedt nog geen volledige bescherming tegen beide gemelde kwetsbaarheden en vervangt de officiële beveiligingsupdates niet.
We blijven de situatie zorgvuldig volgen en installeren de beveiligingsupdates zodra de benodigde pakketten beschikbaar zijn. Via deze statuspagina houden we je op de hoogte.
Heb je vragen? Neem dan contact op via [email protected].
We starten met het uitrollen van een tijdelijke maatregel op al onze servers waarop PHP draait. Daarbij schakelen we de PHP-instelling session.upload_progress.enabled uit.
Volgens de momenteel beschikbare informatie kan deze maatregel één van de mogelijke aanvalsroutes blokkeren. De maatregel biedt daarmee nog geen volledige bescherming tegen beide gemelde kwetsbaarheden en vervangt de officiële beveiligingsupdates niet.
Meer informatie
https://jackalsyn.com/posts/php-up-2026.html
We blijven de situatie zorgvuldig volgen en bereiden ons voor op het installeren van de beveiligingsupdates zodra de benodigde pakketten beschikbaar zijn. Via deze statuspagina houden we je op de hoogte van de voortgang.
Demonstratie van mogelijk misbruik
Er circuleert een proof-of-conceptvideo die laat zien hoe de kwetsbaarheden mogelijk kunnen worden misbruikt. De precieze omstandigheden en de gevolgen voor jouw website of applicatie zijn nog niet officieel bevestigd.
PHP heeft twee kritieke kwetsbaarheden aangekondigd met een ernstscore van 9,2 op 10. Gebruik je PHP voor je website of applicatie? Dan is het belangrijk dat je je voorbereidt op een beveiligingsupdate.
Volgens beveiligingsonderzoekers van watchTowr zijn mogelijk alle PHP-versies vanaf PHP 5 getroffen. PHP heeft dit nog niet officieel bevestigd en maakt de precieze details bij de beveiligingsrelease bekend.
Volgens de officiële aankondiging van PHP staat deze release gepland voor 21 oktober 2026 om 16.00 uur Nederlandse tijd. Er is op dit moment nog geen patch gepubliceerd.
Wanneer zijn de updates beschikbaar?
De geplande PHP-release om 16.00 uur betekent niet dat de updatepakketten voor onze besturingssystemen — Debian, AlmaLinux en CloudLinux — dan ook direct beschikbaar zijn. We zijn hiervoor afhankelijk van de betreffende pakketleveranciers. Deze pakketten kunnen later beschikbaar komen; houd daarom rekening met extra wachttijd voordat de update op jouw omgeving geïnstalleerd kan worden.
Wat kun je nu doen?
Controleer samen met je websitebeheerder welke PHP-versie je website of applicatie gebruikt.
Bereid je voor om de beveiligingsupdate zo snel mogelijk te installeren zodra het juiste pakket beschikbaar is.
Verwerk je gevoelige gegevens of is het risico voor jouw website groot? Overweeg dan om je website of de betreffende applicatie tijdelijk offline te halen totdat de beveiligingsupdate is geïnstalleerd. Bespreek deze afweging met je websitebeheerder.
Of tijdelijk offline halen nodig is, hangt af van jouw situatie. De aankondiging betekent op zichzelf niet dat je website is aangevallen.
Wat doen wij?
We houden de situatie zorgvuldig in de gaten en volgen de berichtgeving van PHP en onze pakketleveranciers. Ondertussen onderzoeken we mogelijke tijdelijke maatregelen om het risico op misbruik te beperken, in afwachting van de beveiligingsupdates.
Meer informatie
- https://www.php.net/archive/2026.php#2026-10-20-1
- https://tweakers.net/nieuws/253568/php-waarschuwt-voor-twee-ernstige-bugs-die-makkelijk-uit-te-buiten-lijken.html
- https://jackalsyn.com/posts/php-up-2026.html
Heb je vragen of twijfel je over de beste aanpak? Neem dan contact op via [email protected].
← Terug