We zijn begonnen met het installeren van de eerste updates. Dat gaat op dit moment erg traag. Hostingpartijen over de hele wereld halen tegelijk dezelfde updates op, en de downloadservers van de leveranciers kunnen die drukte niet aan.

Daardoor kan het installeren langer duren dan verwacht, ook voor updates die al zijn uitgebracht. We blijven de updates zo snel mogelijk doorvoeren, server voor server.

Tot de update op jouw server is geïnstalleerd, blijven de tijdelijke beveiligingsmaatregelen actief. Je website is dus beschermd, maar kan nog wat trager zijn, en grotere uploads via je website werken nog niet.

We werken deze pagina bij zodra alle servers zijn bijgewerkt.

Je hoeft zelf niets te doen.

CloudLinux heeft laten weten dat de gepatchte PHP-versies uiterlijk vanavond 21:00 beschikbaar komen. Ze proberen dat eerder te halen. De eerste pakketten zijn inmiddels verschenen, de rest volgt in de loop van de avond.

Zodra de updates voor onze servers beschikbaar zijn, installeren we ze direct, server voor server. Dat kan tot laat in de avond doorlopen. Na de installatie controleren we per server of alles goed werkt. Daarna draaien we de tijdelijke maatregelen terug: de PHP-cache gaat weer aan en de uploadlimiet van 32 MB vervalt.

Tot die tijd blijven de tijdelijke beveiligingsmaatregelen actief. Websites kunnen dus nog wat trager zijn en grotere uploads via je website werken nog niet.

Managed VPS'en die we op jouw verzoek hebben uitgezet, zetten we weer aan zodra de update voor die VPS klaarstaat. We installeren hem dan direct en laten je weten wanneer je VPS weer online is.

We werken deze pagina bij zodra we met de installatie beginnen, en opnieuw als alle servers zijn bijgewerkt.

Je hoeft zelf niets te doen.

PHP heeft zojuist de gecorrigeerde versies uitgebracht: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Zoals eerder gemeld, kunnen wij die pas installeren als cPanel en CloudLinux er installeerbare pakketten van hebben gemaakt. Dat is nog niet gebeurd.

Inmiddels is meer bekend over hoe de kwetsbaarheden werken. Om de tijd tot de definitieve update te overbruggen, voeren we extra tijdelijke beveiligingsmaatregelen door op onze shared-, reseller- en managed VPS-servers. Dat doen we stap voor stap, server voor server.

Wat je hiervan kunt merken:

• Websites kunnen trager reageren. We zetten de PHP-cache (OPcache) tijdelijk uit en laten PHP voor elke aanvraag een nieuw proces starten. Dat kost meer rekenkracht. We houden de belasting van de servers nauwlettend in de gaten.
• Uploads en formulierverzendingen zijn tijdelijk beperkt tot 32 MB, met een maximum van 30 MB per bestand. Grotere uploads via je website mislukken. Deze limiet kun je niet zelf verhogen via .htaccess, .user.ini of de PHP-instellingen. Grotere bestanden kun je wel via (S)FTP plaatsen.
• De upload-voortgangsfunctie van PHP blijft uitgeschakeld.

Zodra de gepatchte PHP-versies via cPanel en CloudLinux beschikbaar zijn en op onze servers zijn geïnstalleerd, draaien we deze maatregelen terug. Je website werkt dan weer zoals je gewend bent.

Je hoeft zelf niets te doen.

Wat er om 16:00 gebeurt
Om 16:00 maakt de PHP-organisatie (php.net) de gecorrigeerde broncode van PHP openbaar. Dat betekent nog niet dat de update meteen geïnstalleerd kan worden.

Tot de release valt de code onder embargo. Een beperkt aantal partijen heeft de code vooraf ontvangen en kon alvast nieuwe PHP-versies klaarzetten. Of CloudLinux en cPanel daarbij horen, is niet bekend. Zij moeten de nieuwe code eerst verwerken en daar installeerbare PHP-versies van maken. Pas als CloudLinux en cPanel die hebben uitgebracht, kunnen wij de update op onze servers installeren. Hoe lang dat duurt, weten we nog niet.

Tot die tijd blijven onze tijdelijke beveiligingsmaatregelen actief. We werken deze pagina bij zodra CloudLinux en cPanel de update beschikbaar maken, en opnieuw zodra hij op alle servers is geïnstalleerd.

Moet ik nu overstappen naar een nieuwere PHP-versie?
Niet voor deze kwetsbaarheid. Ook de nieuwste PHP-versies krijgen de update pas na de release, en onze tijdelijke maatregelen gelden voor alle versies. Overstappen naar PHP 8.3 of nieuwer blijft verstandig, maar doe dat op een rustig moment en test je website daarna. Plugins of thema's die niet compatibel zijn, kunnen anders foutmeldingen geven.

Werkt er iets niet meer op je website?
We passen onze beveiligingsregels voortdurend aan op nieuwe aanvalsmethoden. In een enkel geval kan daardoor een normale actie worden geblokkeerd, bijvoorbeeld het uploaden van een bestand of het versturen van een formulier. Je ziet dan meestal een foutmelding 403.

Managed VPS uitgezet?
VPS'en die we op jouw verzoek hebben uitgezet, zetten we weer aan zodra de update beschikbaar is. We installeren hem direct en laten je weten wanneer je VPS weer online is.

Beveiligingsregels
We delen de exacte inhoud van onze beveiligingsregels niet. Ze worden voortdurend aangepast aan nieuwe aanvalsmethoden.

Je hoeft zelf niets te doen.

Door de kritieke PHP-kwetsbaarheden krijgen we vandaag uitzonderlijk veel vragen. Om iedereen zo snel mogelijk te helpen, passen we onze ondersteuning tijdelijk aan. Dit geldt totdat de PHP-update op al onze servers is uitgerold:

• We plannen geen terugbelverzoeken in. Stel je vraag via een ticket, dan reageren we zo snel mogelijk.
• Migraties en domeinverhuizingen staan tijdelijk on hold. Lopende aanvragen pakken we weer op zodra de update is uitgerold.
• Het kan langer duren voordat je antwoord krijgt dan je van ons gewend bent. Stuur liever geen extra tickets over dezelfde vraag, want dat vertraagt de afhandeling.

Veel vragen worden al beantwoord in de eerdere updates op deze pagina. Daar lees je bijvoorbeeld of het nodig is om je website of VPS offline te halen, en hoe je dat doet.

Bedankt voor je begrip.

Onze servers zijn sinds vanochtend op drie manieren beschermd:

• Onze eigen WAF-regels, actief sinds vanochtend 8:30.
• De tijdelijk uitgeschakelde upload-voortgangsfunctie van PHP, die we eerder vandaag hebben gemeld. Via deze functie loopt een van de bekende aanvalsroutes.
• Een nieuwe set beveiligingsregels van Imunify360. Deze regels blokkeren de aanvalsmethode die nu in omloop is en worden automatisch op al onze shared-, reseller-, Woocommerce VPS-servers toegepast. Litespeed VPS servers die Imunify360 afnemen ontvangen ook deze beveilging.

Let op: dit zijn tijdelijke maatregelen en geen definitieve oplossing. De kwetsbaarheid is breder dan de routes die nu worden afgeschermd. De echte oplossing is de beveiligingsupdate van PHP zelf, die vandaag om 16:00 verschijnt. CloudLinux werkt aan gepatchte PHP-versies. Zodra die beschikbaar zijn, installeren we ze direct en werken we deze melding bij.

Je hoeft zelf niets te doen.

Naar aanleiding van berichtgeving in de media krijgen we veel vragen of het verstandig is om websites of servers offline te halen tot de PHP-update er is. Naar onze inschatting is dat niet nodig. De tijdelijke beveiligingsmaatregel die we vanochtend hebben uitgerold, beschermt onze shared-, reseller- en managed VPS-servers tegen de aangekondigde kwetsbaarheden totdat de gepatchte PHP-versies beschikbaar zijn. Dat geldt ook voor oudere PHP-versies.

Wil je toch geen enkel risico lopen, dan kan dat:

Managed VPS
Neem contact op met support. We zetten je VPS dan volledig uit en weer aan zodra jij dat aangeeft.

Shared en reseller
Je kunt een account zelf offline halen. Zet deze twee regels bovenaan het .htaccess-bestand in de map public_html:

RewriteEngine On
RewriteRule .* - [L,F]

Bezoekers krijgen dan een foutmelding (403 Forbidden). Haal je de regels weer weg, dan is de website direct weer online. E-mail blijft gewoon werken.

Reseller
Je kunt accounts ook in WHM opschorten (Suspend). Let op: e-mail voor een opgeschort account wordt dan ook niet meer afgeleverd. Wil je alleen de website offline halen en e-mail laten werken, gebruik dan de .htaccess-regels hierboven.

De officiële PHP-update verwachten we nog steeds vandaag om 16:00. Zodra de gepatchte versies via cPanel en CloudLinux beschikbaar zijn, installeren we ze en werken we deze melding opnieuw bij.

Vooruitlopend op de officiële PHP-update van vanmiddag 16:00 rollen we nu een tijdelijke beveiligingsmaatregel uit op al onze shared-, reseller- en managed VPS-servers. Daarmee zijn de servers alvast beschermd tegen de aangekondigde kwetsbaarheden, nog voordat de gepatchte PHP-versies beschikbaar zijn.

De maatregel geldt voor alle PHP-versies op de server, ook voor de oudere versies. We hebben hem vanochtend op onze testservers uitgerold en gecontroleerd. Daarbij hebben we geen onderbrekingen gezien voor websites, e-mail of andere diensten.

Het enige wat je zou kunnen merken: de upload-voortgangsfunctie van PHP staat tijdelijk uit. Een voortgangsbalk die daarop leunt, kan tijdens het uploaden van een bestand blijven stilstaan. De upload zelf werkt gewoon.

Je hoeft zelf niets te doen. Zodra de gepatchte PHP-versies via cPanel en CloudLinux beschikbaar zijn, installeren we die en werken we deze melding opnieuw bij.