Ernstig beveiligingslek in PHP: onze maatregelen en wat u kunt doen

Hostage beeldmerk

Ernstig beveiligingslek in PHP: onze maatregelen en wat u kunt doen

Op 20 oktober 2026 werd een ernstig beveiligingslek in PHP bekend. PHP is de programmeertaal waarin onder meer WordPress, WooCommerce, Joomla, Magento en Laravel draaien. Via een speciaal opgesteld verzoek kan een aanvaller mogelijk code uitvoeren op de webserver, zonder in te loggen. Het lek zit in PHP zelf. Een goed bijgewerkte website of een beveiligingsplugin beschermt er dus niet tegen.

Het lek is bekend onder de nummers CVE-2026-109618 en CVE-2026-109619. De makers van PHP hebben op 21 oktober de gepatchte versies PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uitgebracht.

Updates

21 oktober 2026, 18:30
Wij heffen de beperkingen per website op, zodra de PHP-versie waarop die website draait is bijgewerkt. Voor een deel van onze webhostingservers wachten wij nog op updates van de leverancier van het controlepaneel; die installeren wij zodra ze verschijnen. Websites op PHP 8.1 of ouder houden de tijdelijke maatregelen.

21 oktober 2026, 17:30
Op een groot deel van onze servers zijn de PHP-updates geïnstalleerd, inclusief de gepatchte builds die onze pakketleveranciers ook voor oudere PHP-versies hebben uitgebracht. Op de servers die volledig zijn bijgewerkt, werken bestandsuploads weer.

21 oktober 2026, 16:00
PHP heeft de gepatchte versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uitgebracht. Wij zijn direct begonnen met installeren.

21 oktober 2026, ochtend
Tijdelijke maatregelen op al onze webhosting- en mailservers: het type verzoek waarlangs het lek misbruikt kan worden is geblokkeerd, en een betrokken PHP-functie is uitgeschakeld. Bestandsuploads werken daardoor tijdelijk niet. Bij controle zijn geen sporen van misbruik gevonden.

20 oktober 2026, avond
Het lek wordt bekend. Wij inventariseren alle servers waarop PHP draait.

Deze pagina werken wij bij zodra er nieuws is.

Wat wij hebben gedaan

  • Tijdelijke maatregelen: nog vóór de update verscheen, hebben wij op onze webhostingservers het type verzoek geblokkeerd waarlangs het lek misbruikt kan worden. Daarnaast hebben we een betrokken PHP-functie uitgeschakeld.
  • Updates installeren: direct na het verschijnen van de nieuwe PHP-versies zijn wij begonnen met het bijwerken van onze servers. Waar wij afhankelijk zijn van updates van de leverancier van het controlepaneel, installeren we die zodra ze beschikbaar zijn.
  • Beperkingen opheffen: zodra de PHP-versie waarop een website draait volledig is bijgewerkt, heffen wij de tijdelijke beperkingen voor die website op.
  • Controle: wij hebben onze servers gecontroleerd op sporen van misbruik en daarbij geen aanwijzingen gevonden.

Wat u kunt merken

Zolang de tijdelijke maatregelen gelden, werken bestandsuploads niet. Denk aan:

  • afbeeldingen uploaden in WordPress of uw webshop;
  • formulieren met bijlagen, en sommige contactformulieren;
  • bijlagen toevoegen in webmail;
  • uploads in het controlepaneel.

Bezoekers krijgen dan een foutmelding. Gewone pagina's, bestellingen en inloggen werken wel. Het ontvangen en versturen van e-mail via uw e-mailprogramma of telefoon werkt ook gewoon.

Websites op een verouderde PHP-versie

Voor PHP 8.1 en ouder brengen de makers van PHP geen update meer uit. Websites op zo'n versie kunnen de tijdelijke beperkingen daarom houden. Wij adviseren u zo snel mogelijk over te stappen op PHP 8.3 of nieuwer. In uw controlepaneel ziet u welke versie uw website gebruikt. Heeft u vragen, of wilt u dat wij uw website geschikt maken voor een nieuwere PHP-versie? Neem dan contact op met support@hostage.nl.

Beheert u zelf een VPS of server?

Dan bent u zelf verantwoordelijk voor het bijwerken van PHP. Ons advies:

  1. Update PHP naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35 via uw package manager, en herstart daarna PHP-FPM en uw webserver. Gebruikt u Docker? Bouw dan uw image opnieuw op met de bijgewerkte PHP-image.
  2. Kunt u nog niet updaten? Zet dan session.upload_progress.enabled = Off in php.ini en herstart PHP. Dit verkleint het risico, maar is geen volledige oplossing.
  3. Gebruikt u PHP 8.1 of ouder? Stap dan over op een ondersteunde versie.
  4. Controleer uw server op onbekende bestanden, gebruikers en processen sinds 20 oktober.

Wilt u dat wij dit voor u uitvoeren? Neem contact op met support@hostage.nl, dan plannen wij dit in.

Meer informatie

Heeft u vragen, of vermoedt u misbruik op uw website? Neem dan contact op met support@hostage.nl. Meldingen over mogelijk misbruik behandelen wij met voorrang.

alle berichten