Breadcrumbs:
  1. Klantenservice
  2. Netwerkstatus
  3. 21 oktober 2026, Ernstige kwetsbaa ...

Kwetsbaarheden opgelost

Ernstige kwetsbaarheden in PHP (website hosting)

Start: woensdag 21 oktober 2026 11:30
Eind: donderdag 22 oktober 2026 01:00

Betrokken diensten: Website hosting (websites op basis van PHP)
 

Omschrijving

Op 21 oktober zijn twee ernstige kwetsbaarheden in PHP bekend geworden (CVE-2026-109618 en CVE-2026-109619), ook wel "PHP2Shell" genoemd. PHP is de programmeertaal waarop onder andere WordPress, Joomla en de meeste andere websites op onze hostingservers draaien. Door deze kwetsbaarheden kan een aanvaller zonder in te loggen op afstand code uitvoeren op de server, nog voordat de website zelf wordt geladen. Ook goed beveiligde WordPress-installaties of inlogpagina's zijn hierdoor kwetsbaar. Vrijwel alle PHP-versies vanaf versie 5 zijn getroffen. Op 21 oktober zijn wereldwijd de eerste aanvalspogingen gezien.

Totdat de beveiligingsupdates beschikbaar waren, heeft onze Web Application Firewall (WAF) de bekende aanvalspogingen geblokkeerd. Zodra de updates beschikbaar waren, hebben we deze direct geïnstalleerd, ook voor oudere PHP-versies. We hebben vanaf het begin de logbestanden gecontroleerd op verdachte verzoeken en na elke installatie alle websites op de betreffende PHP-versie individueel gecontroleerd. U hoeft zelf geen actie te ondernemen.

Heeft u een eigen (dedicated) hostingserver die door ons wordt beheerd? Wij nemen persoonlijk contact met u op over de maatregelen voor uw server.
 

Laatste update van 22 oktober, 01:00

Alle websites op onze hostingservers zijn nu beschermd. Ze draaien op een PHP-versie met de beveiligingsupdate. De WAF blijft actief. In de logbestanden hebben we geen aanwijzingen gevonden voor misbruik via deze kwetsbaarheden. We blijven de logbestanden extra controleren.

Bij oudere PHP-versies is de beveiligingsupdate verwerkt in hetzelfde versienummer. Het versienummer in Plesk blijft daardoor ongewijzigd.

Voor een aantal websites hebben we de PHP-versie aangepast, omdat er voor de oorspronkelijke versie geen beveiligingsupdate beschikbaar was. Deze websites draaien nu op dezelfde of een vergelijkbare versie, bijvoorbeeld PHP 7.4 in plaats van 7.1 of 7.3. Bij websites die geen PHP gebruiken, zoals statische websites en doorverwijzingen, hebben we PHP uitgeschakeld. Ook deze websites zijn na de wijziging gecontroleerd. U ziet deze aanpassingen terug in Plesk.

Ervaart u nog problemen met uw website? Neem dan contact met ons op per e-mail, zodat we u persoonlijk verder kunnen helpen.
 

Update 22:00

De beveiligingsupdate voor PHP 5.x is geïnstalleerd. Daarna hebben we alle websites op PHP 5.x individueel gecontroleerd.
 

Update 21:25

De beveiligingsupdate voor PHP 7.x is geïnstalleerd. Daarna hebben we alle websites op PHP 7.x individueel gecontroleerd. De update voor PHP 5.x verwachten we later vanavond; tot die tijd blijven deze websites beschermd door de WAF.
 

Update 19:45

De WAF heeft aanvullende regels gekregen, waardoor ook nieuwere varianten van de aanval worden herkend en geblokkeerd. De beveiligingsupdates voor de oudere PHP-versies (5.x en 7.x) worden later vanavond verwacht.
 

Update 18:05

De beveiligingsupdate voor PHP 8.x is geïnstalleerd. Daarna hebben we alle websites op PHP 8.x individueel gecontroleerd.
 

Update 17:00

Onze leverancier verwacht de beveiligingsupdates voor de oudere PHP-versies (5.x en 7.x) binnen ongeveer vijf uur beschikbaar te hebben. De update voor PHP 8.x is al beschikbaar en we bereiden de installatie voor. De websites blijven in de tussentijd beschermd door de WAF.
 

Update 16:15

PHP heeft de beveiligingsupdates voor de actuele versies (8.2 tot en met 8.5) gepubliceerd en Plesk heeft deze kort daarna beschikbaar gesteld. Voor oudere versies volgen de updates later. De WAF blijft bekende aanvalspogingen blokkeren en we controleren de logbestanden continu.
 

Update 11:30

Onze Web Application Firewall (WAF) blokkeert sinds vanochtend de bekende aanvalsmethode. Een WAF is een filter dat verzoeken aan een website controleert voordat ze de website bereiken en verdachte verzoeken tegenhoudt. Daarmee zijn de websites op onze hostingservers beschermd tegen de aanvalspogingen die momenteel bekend zijn. De beveiligingsupdates voor PHP worden vanmiddag rond 16:00 verwacht.