Het PHP-securityteam brengt op woensdag 21 oktober om 16:00 (Nederlandse tijd) een beveiligingsupdate voor PHP uit. De update verhelpt twee kritieke kwetsbaarheden. Welke PHP-versies geraakt zijn, maakt het PHP-team pas bij de release bekend.
Zodra de gepatchte versies via cPanel en CloudLinux beschikbaar zijn, installeren we ze op al onze shared-, reseller- en managed VPS-servers. We verwachten geen onderbrekingen voor je websites, e-mail of andere diensten.
Je hoeft zelf niets te doen. Gebruik je nog PHP 8.1 of ouder? Die versies krijgen van het PHP-team geen beveiligingsupdates meer. Dit is een goed moment om in cPanel (MultiPHP Manager of PHP Selector) over te stappen naar PHP 8.3 of nieuwer.
Wij zullen vanzelfsprekend de kwetsbaarheden voor oudere versie patchen met behulp van Cloudlinux of misbruik proberen te voorkomen.
We werken deze melding bij zodra de updates op alle servers zijn uitgerold.
Correctie op onze vorige update We schreven eerder vanavond dat CloudLinux de eerste gepatchte PHP-versies voor onze servers had uitgebracht. CloudLinux heeft dat inmiddels rechtgezet. Die versies waren bedoeld voor een andere productlijn en zijn nog niet beschikbaar voor de CloudLinux-versies waarop onze servers draaien.
Wat is wel bijgewerkt
Waar we nog op wachten De gepatchte PHP-versies van CloudLinux (te beheren via de PHP Selector) zijn nog niet beschikbaar. CloudLinux heeft op dit moment geen nieuwe verwachte tijd gegeven.
Tot die tijd blijven je websites beschermd door onze tijdelijke maatregelen en de beveiligingsregels van Imunify360. Die blokkeren de aanvalsmethoden die nu in omloop zijn, ook op LiteSpeed-servers. Websites kunnen dus nog wat trager zijn, en grotere uploads via je website werken nog niet.
We houden de ontwikkelingen vannacht in de gaten. Zodra CloudLinux de updates uitbrengt, installeren we ze direct en werken we deze pagina bij.
Je hoeft zelf niets te doen.
CloudLinux heeft de eerste gepatchte PHP-versies voor onze servers uitgebracht: PHP 5.2, 5.6, 7.4, 8.0 en 8.4. Die installeren we nu op al onze servers.
De overige versies volgen vannacht. Volgens CloudLinux komen de meeste rond 23:15 beschikbaar, en PHP 8.5 rond 00:30. Zodra ze verschijnen, installeren we ze direct.
Tot de update voor jouw PHP-versie is geïnstalleerd, blijven je websites beschermd door de tijdelijke maatregelen en de beveiligingsregels van Imunify360. Websites kunnen dus nog wat trager zijn, en grotere uploads via je website werken nog niet.
We werken deze pagina bij zodra alle PHP-versies op onze servers zijn bijgewerkt.
Je hoeft zelf niets te doen.
Al onze servers zijn bijgewerkt naar cPanel-versie 11.138.0.18. Daarmee is Roundcube, de webmail in cPanel en WHM, nu beveiligd tegen de kwetsbaarheden.
Voor de PHP-versies waarop websites draaien, wachten we nog op de volledige uitrol van CloudLinux. CloudLinux brengt de gepatchte versies in delen uit. Zodra ze voor onze servers beschikbaar zijn, installeren we ze direct. Dat kan ook vannacht gebeuren.
Tot die tijd blijven je websites beschermd door de tijdelijke maatregelen en de beveiligingsregels van Imunify360. Websites kunnen dus nog wat trager zijn, en grotere uploads via je website werken nog niet.
We werken deze pagina bij zodra alle PHP-versies zijn bijgewerkt.
Je hoeft zelf niets te doen.
De eerste gepatchte PHP-versies zijn beschikbaar en we installeren ze vanavond.
cPanel heeft een nieuwe versie uitgebracht, en via EasyApache zijn al updates verschenen voor een deel van de PHP-versies. Die installeren we vanavond op al onze servers.
Ook CloudLinux brengt de updates in delen uit. Inmiddels zijn de updates verschenen voor een deel van de oudere PHP-versies. Voor de meeste versies, waaronder PHP 8.2 tot en met 8.5, wachten we nog. CloudLinux verwacht ze later vanavond uit te brengen. Zodra ze verschijnen, installeren we ze direct. Dat kan ook vannacht gebeuren.
In de tussentijd blijven je websites beschermd. Naast onze eigen maatregelen heeft Imunify360 vanmiddag en vanavond nieuwe beveiligingsregels uitgebracht. Die blokkeren de aanvalsmethoden die nu in omloop zijn, en ze zijn automatisch actief op onze servers.
Tot alle updates zijn geïnstalleerd, blijven de tijdelijke maatregelen actief. Websites kunnen dus nog wat trager zijn, en grotere uploads via je website werken nog niet.
We werken deze pagina bij zodra alle servers zijn bijgewerkt.
Je hoeft zelf niets te doen.
We zijn begonnen met het installeren van de eerste updates. Dat gaat op dit moment erg traag. Hostingpartijen over de hele wereld halen tegelijk dezelfde updates op, en de downloadservers van de leveranciers kunnen die drukte niet aan.
Daardoor kan het installeren langer duren dan verwacht, ook voor updates die al zijn uitgebracht. We blijven de updates zo snel mogelijk doorvoeren, server voor server.
Tot de update op jouw server is geïnstalleerd, blijven de tijdelijke beveiligingsmaatregelen actief. Je website is dus beschermd, maar kan nog wat trager zijn, en grotere uploads via je website werken nog niet.
We werken deze pagina bij zodra alle servers zijn bijgewerkt.
Je hoeft zelf niets te doen.
CloudLinux heeft laten weten dat de gepatchte PHP-versies uiterlijk vanavond 21:00 beschikbaar komen. Ze proberen dat eerder te halen. De eerste pakketten zijn inmiddels verschenen, de rest volgt in de loop van de avond.
Zodra de updates voor onze servers beschikbaar zijn, installeren we ze direct, server voor server. Dat kan tot laat in de avond doorlopen. Na de installatie controleren we per server of alles goed werkt. Daarna draaien we de tijdelijke maatregelen terug: de PHP-cache gaat weer aan en de uploadlimiet van 32 MB vervalt.
Tot die tijd blijven de tijdelijke beveiligingsmaatregelen actief. Websites kunnen dus nog wat trager zijn en grotere uploads via je website werken nog niet.
Managed VPS'en die we op jouw verzoek hebben uitgezet, zetten we weer aan zodra de update voor die VPS klaarstaat. We installeren hem dan direct en laten je weten wanneer je VPS weer online is.
We werken deze pagina bij zodra we met de installatie beginnen, en opnieuw als alle servers zijn bijgewerkt.
Je hoeft zelf niets te doen.
PHP heeft zojuist de gecorrigeerde versies uitgebracht: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Zoals eerder gemeld, kunnen wij die pas installeren als cPanel en CloudLinux er installeerbare pakketten van hebben gemaakt. Dat is nog niet gebeurd.
Inmiddels is meer bekend over hoe de kwetsbaarheden werken. Om de tijd tot de definitieve update te overbruggen, voeren we extra tijdelijke beveiligingsmaatregelen door op onze shared-, reseller- en managed VPS-servers. Dat doen we stap voor stap, server voor server.
Wat je hiervan kunt merken:
Zodra de gepatchte PHP-versies via cPanel en CloudLinux beschikbaar zijn en op onze servers zijn geïnstalleerd, draaien we deze maatregelen terug. Je website werkt dan weer zoals je gewend bent.
Je hoeft zelf niets te doen.
Wat er om 16:00 gebeurt
Om 16:00 maakt de PHP-organisatie (php.net) de gecorrigeerde broncode van PHP openbaar. Dat betekent nog niet dat de update meteen geïnstalleerd kan worden.
Tot de release valt de code onder embargo. Een beperkt aantal partijen heeft de code vooraf ontvangen en kon alvast nieuwe PHP-versies klaarzetten. Of CloudLinux en cPanel daarbij horen, is niet bekend. Zij moeten de nieuwe code eerst verwerken en daar installeerbare PHP-versies van maken. Pas als CloudLinux en cPanel die hebben uitgebracht, kunnen wij de update op onze servers installeren. Hoe lang dat duurt, weten we nog niet.
Tot die tijd blijven onze tijdelijke beveiligingsmaatregelen actief. We werken deze pagina bij zodra CloudLinux en cPanel de update beschikbaar maken, en opnieuw zodra hij op alle servers is geïnstalleerd.
Moet ik nu overstappen naar een nieuwere PHP-versie?
Niet voor deze kwetsbaarheid. Ook de nieuwste PHP-versies krijgen de update pas na de release, en onze tijdelijke maatregelen gelden voor alle versies. Overstappen naar PHP 8.3 of nieuwer blijft verstandig, maar doe dat op een rustig moment en test je website daarna. Plugins of thema's die niet compatibel zijn, kunnen anders foutmeldingen geven.
Werkt er iets niet meer op je website?
We passen onze beveiligingsregels voortdurend aan op nieuwe aanvalsmethoden. In een enkel geval kan daardoor een normale actie worden geblokkeerd, bijvoorbeeld het uploaden van een bestand of het versturen van een formulier. Je ziet dan meestal een foutmelding 403.
Managed VPS uitgezet?
VPS'en die we op jouw verzoek hebben uitgezet, zetten we weer aan zodra de update beschikbaar is. We installeren hem direct en laten je weten wanneer je VPS weer online is.
Beveiligingsregels
We delen de exacte inhoud van onze beveiligingsregels niet. Ze worden voortdurend aangepast aan nieuwe aanvalsmethoden.
Je hoeft zelf niets te doen.
Door de kritieke PHP-kwetsbaarheden krijgen we vandaag uitzonderlijk veel vragen. Om iedereen zo snel mogelijk te helpen, passen we onze ondersteuning tijdelijk aan. Dit geldt totdat de PHP-update op al onze servers is uitgerold:
Veel vragen worden al beantwoord in de eerdere updates op deze pagina. Daar lees je bijvoorbeeld of het nodig is om je website of VPS offline te halen, en hoe je dat doet.
Bedankt voor je begrip.
Onze servers zijn sinds vanochtend op drie manieren beschermd:
Let op: dit zijn tijdelijke maatregelen en geen definitieve oplossing. De kwetsbaarheid is breder dan de routes die nu worden afgeschermd. De echte oplossing is de beveiligingsupdate van PHP zelf, die vandaag om 16:00 verschijnt. CloudLinux werkt aan gepatchte PHP-versies. Zodra die beschikbaar zijn, installeren we ze direct en werken we deze melding bij.
Je hoeft zelf niets te doen.
Naar aanleiding van berichtgeving in de media krijgen we veel vragen of het verstandig is om websites of servers offline te halen tot de PHP-update er is. Naar onze inschatting is dat niet nodig. De tijdelijke beveiligingsmaatregel die we vanochtend hebben uitgerold, beschermt onze shared-, reseller- en managed VPS-servers tegen de aangekondigde kwetsbaarheden totdat de gepatchte PHP-versies beschikbaar zijn. Dat geldt ook voor oudere PHP-versies.
Wil je toch geen enkel risico lopen, dan kan dat:
Managed VPS
Neem contact op met support. We zetten je VPS dan volledig uit en weer aan zodra jij dat aangeeft.
Shared en reseller
Je kunt een account zelf offline halen. Zet deze twee regels bovenaan het .htaccess-bestand in de map public_html:
RewriteEngine On
RewriteRule .* - [L,F]
Bezoekers krijgen dan een foutmelding (403 Forbidden). Haal je de regels weer weg, dan is de website direct weer online. E-mail blijft gewoon werken.
Reseller
Je kunt accounts ook in WHM opschorten (Suspend). Let op: e-mail voor een opgeschort account wordt dan ook niet meer afgeleverd. Wil je alleen de website offline halen en e-mail laten werken, gebruik dan de .htaccess-regels hierboven.
De officiële PHP-update verwachten we nog steeds vandaag om 16:00. Zodra de gepatchte versies via cPanel en CloudLinux beschikbaar zijn, installeren we ze en werken we deze melding opnieuw bij.
Vooruitlopend op de officiële PHP-update van vanmiddag 16:00 rollen we nu een tijdelijke beveiligingsmaatregel uit op al onze shared-, reseller- en managed VPS-servers. Daarmee zijn de servers alvast beschermd tegen de aangekondigde kwetsbaarheden, nog voordat de gepatchte PHP-versies beschikbaar zijn.
De maatregel geldt voor alle PHP-versies op de server, ook voor de oudere versies. We hebben hem vanochtend op onze testservers uitgerold en gecontroleerd. Daarbij hebben we geen onderbrekingen gezien voor websites, e-mail of andere diensten.
Het enige wat je zou kunnen merken: de upload-voortgangsfunctie van PHP staat tijdelijk uit. Een voortgangsbalk die daarop leunt, kan tijdens het uploaden van een bestand blijven stilstaan. De upload zelf werkt gewoon.
Je hoeft zelf niets te doen. Zodra de gepatchte PHP-versies via cPanel en CloudLinux beschikbaar zijn, installeren we die en werken we deze melding opnieuw bij.
Onze upstream providers voeren op dit moment urgent onderhoud uit op hun core routers. Dat gebeurt naar aanleiding van een beveiligingsadvies van het NCSC over kwetsbaarheden in routersoftware (NCSC-2026-0430). De routers krijgen één voor één een update. Zolang dat duurt, is er tijdelijk minder netwerkredundantie.
Als de upstream providers klaar zijn, updaten wij onze eigen switches. Ook dat doen we één voor één.
Ons netwerk is redundant uitgevoerd, dus we verwachten geen onderbrekingen voor jouw websites, e-mail of andere diensten. Wel kun je tijdens de werkzaamheden af en toe een iets hogere latency merken.
Je hoeft zelf niets te doen. We werken deze melding bij zodra het onderhoud is afgerond.
Geen incidenten gemeld
Geen incidenten gemeld