Het PHP-securityteam brengt op woensdag 21 oktober om 16:00 (Nederlandse tijd) een beveiligingsupdate voor PHP uit. De update verhelpt twee kritieke kwetsbaarheden. Welke PHP-versies geraakt zijn, maakt het PHP-team pas bij de release bekend.
Zodra de gepatchte versies via cPanel en CloudLinux beschikbaar zijn, installeren we ze op al onze shared-, reseller- en managed VPS-servers. We verwachten geen onderbrekingen voor je websites, e-mail of andere diensten.
Je hoeft zelf niets te doen. Gebruik je nog PHP 8.1 of ouder? Die versies krijgen van het PHP-team geen beveiligingsupdates meer. Dit is een goed moment om in cPanel (MultiPHP Manager of PHP Selector) over te stappen naar PHP 8.3 of nieuwer.
Wij zullen vanzelfsprekend de kwetsbaarheden voor oudere versie patchen met behulp van Cloudlinux of misbruik proberen te voorkomen.
We werken deze melding bij zodra de updates op alle servers zijn uitgerold.
Naar aanleiding van berichtgeving in de media krijgen we veel vragen of het verstandig is om websites of servers offline te halen tot de PHP-update er is. Naar onze inschatting is dat niet nodig. De tijdelijke beveiligingsmaatregel die we vanochtend hebben uitgerold, beschermt onze shared-, reseller- en managed VPS-servers tegen de aangekondigde kwetsbaarheden totdat de gepatchte PHP-versies beschikbaar zijn. Dat geldt ook voor oudere PHP-versies.
Wil je toch geen enkel risico lopen, dan kan dat:
Managed VPS
Neem contact op met support. We zetten je VPS dan volledig uit en weer aan zodra jij dat aangeeft.
Shared en reseller
Je kunt een account zelf offline halen. Zet deze twee regels bovenaan het .htaccess-bestand in de map public_html:
RewriteEngine On
RewriteRule .* - [L,F]
Bezoekers krijgen dan een foutmelding (403 Forbidden). Haal je de regels weer weg, dan is de website direct weer online. E-mail blijft gewoon werken.
Reseller
Je kunt accounts ook in WHM opschorten (Suspend). Let op: e-mail voor een opgeschort account wordt dan ook niet meer afgeleverd. Wil je alleen de website offline halen en e-mail laten werken, gebruik dan de .htaccess-regels hierboven.
De officiële PHP-update verwachten we nog steeds vandaag om 16:00. Zodra de gepatchte versies via cPanel en CloudLinux beschikbaar zijn, installeren we ze en werken we deze melding opnieuw bij.
Vooruitlopend op de officiële PHP-update van vanmiddag 16:00 rollen we nu een tijdelijke beveiligingsmaatregel uit op al onze shared-, reseller- en managed VPS-servers. Daarmee zijn de servers alvast beschermd tegen de aangekondigde kwetsbaarheden, nog voordat de gepatchte PHP-versies beschikbaar zijn.
De maatregel geldt voor alle PHP-versies op de server, ook voor de oudere versies. We hebben hem vanochtend op onze testservers uitgerold en gecontroleerd. Daarbij hebben we geen onderbrekingen gezien voor websites, e-mail of andere diensten.
Het enige wat je zou kunnen merken: de upload-voortgangsfunctie van PHP staat tijdelijk uit. Een voortgangsbalk die daarop leunt, kan tijdens het uploaden van een bestand blijven stilstaan. De upload zelf werkt gewoon.
Je hoeft zelf niets te doen. Zodra de gepatchte PHP-versies via cPanel en CloudLinux beschikbaar zijn, installeren we die en werken we deze melding opnieuw bij.
Onze upstream providers voeren op dit moment urgent onderhoud uit op hun core routers. Dat gebeurt naar aanleiding van een beveiligingsadvies van het NCSC over kwetsbaarheden in routersoftware (NCSC-2026-0430). De routers krijgen één voor één een update. Zolang dat duurt, is er tijdelijk minder netwerkredundantie.
Als de upstream providers klaar zijn, updaten wij onze eigen switches. Ook dat doen we één voor één.
Ons netwerk is redundant uitgevoerd, dus we verwachten geen onderbrekingen voor jouw websites, e-mail of andere diensten. Wel kun je tijdens de werkzaamheden af en toe een iets hogere latency merken.
Je hoeft zelf niets te doen. We werken deze melding bij zodra het onderhoud is afgerond.
Geen incidenten gemeld
Geen incidenten gemeld