Website en klanteninterface na 14 minuten, de webhostingservers na 27 minuten: zo hebben we gereageerd op de PHP-updates van 21 oktober.
Bij beveiligingslekken telt elk uur! ⚡️ Op 21 oktober 2026 heeft het PHP-project beveiligingsupdates uitgebracht voor twee kritieke kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619). Onder bepaalde omstandigheden konden aanvallers op afstand hun eigen code uitvoeren op een webserver met PHP. Dit is geen probleem dat alleen ZAP-Hosting raakt: PHP vormt de basis van een groot deel van het internet, dus de kwetsbaarheden treffen websites en webservers in de hele hostingbranche.
- Type kwetsbaarheid: Remote Code Execution: het uitvoeren van code op de server via een speciaal samengestelde aanvraag.
- Opgelost in: PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12.
- Zonder oplossing: PHP 8.1 en ouder ontvangen geen beveiligingsupdates meer van het PHP-project en krijgen dus ook geen oplossing voor deze kwetsbaarheden.
De release van de updates was vooraf aangekondigd. Ons infrastructuurteam heeft die tijd benut om onze systemen waarop PHP draait in kaart te brengen: van onze website en de klanteninterface tot de webhostingservers, de phpMyAdmin-interfaces van onze databaseproducten en onze interne diensten. In aanloop naar de release hebben we tijdelijke beveiligingsinstellingen toegepast en extra filterregels aan de rand van ons netwerk geactiveerd. Zo was de bekende aanvalsmethode al beperkt voordat de oplossing beschikbaar was.
Omdat alles was voorbereid, konden we na de release snel handelen: onze website en de klanteninterface draaiden na ongeveer 15 minuten op de nieuwe versie, en de webhostingservers na iets minder dan een halfuur. Ook onder tijdsdruk hebben we stap voor stap gewerkt en elke wijziging eerst getest. Onze overige systemen volgden nog dezelfde dag.
Webhostingpakketten die nog PHP 7.4, 8.0 of 8.1 gebruikten, hebben we overgezet naar PHP 8.2, omdat er voor deze oude versies geen oplossing beschikbaar is. We hebben hierover geïnformeerd via servicemeldingen in de klanteninterface en per e-mail. De meeste websites blijven zonder aanpassingen werken. Heeft je applicatie aanpassingen nodig voor de nieuwere PHP-versie? Dan helpt onze support je graag verder.
Onze updates omvatten de diensten die we voor je beheren. Op je eigen VPS, dedicated server of een ander systeem dat je zelf beheert, ben je zelf verantwoordelijk voor de geïnstalleerde software — of dat nu bij ons is, bij een andere provider of thuis. Draait er ergens PHP, bijvoorbeeld voor een website, forum, paneel of in een Docker-container? Controleer dit dan nu:
- Controleer welke PHP-versie op je server draait. De versies waarin de kwetsbaarheden zijn opgelost, zijn 8.2.35, 8.3.36, 8.4.27, 8.5.12 of nieuwer.
- Installeer de updates zelf via de pakketbeheerder van je besturingssysteem.
- Docker-containers met PHP: haal de nieuwste images op of bouw ze opnieuw en start de containers opnieuw. Een update op het hostsysteem werkt de PHP-versie in de container niet bij.
- Start daarna PHP-FPM of de webserver opnieuw, zodat de actieve processen ook daadwerkelijk de nieuwe versie gebruiken.
- Draait er nog PHP 8.1 of ouder? Plan dan een upgrade naar een ondersteunde versie. Voor deze versies komt er geen oplossing meer.
Dit is geen op zichzelf staand geval. In augustus hebben we onze KVM-infrastructuur beveiligd tegen Zapscape en Januscape, twee kwetsbaarheden waardoor een virtuele machine onder bepaalde omstandigheden uit haar isolatie kon ontsnappen. Telkens geldt hetzelfde principe: snel beoordelen, direct beveiligen en patchen zodra er een stabiele oplossing beschikbaar is. Beveiligingsonderzoek staat nooit stil, en ons werk aan veilige diensten evenmin.
Voorkeursbron bij Google
