PHP-kwetsbaarheden in oktober: onze aanpak

Een kritieke kwetsbaarheid vraagt om snel handelen, zorgvuldig controleren en duidelijke communicatie. In oktober stonden we voor die uitdaging toen twee ernstige kwetsbaarheden in PHP bekend werden. We namen voorzorgsmaatregelen voor onze hostingomgevingen en hielden klanten via meerdere updates op de hoogte.

In deze terugblik leggen we uit wat er aan de hand was, welke stappen we namen en waarom je bij shared hosting niet alleen op het zichtbare PHP-versienummer kunt afgaan.

Wat gebeurde er?

PHP maakte op 21 oktober beveiligingsupdates bekend voor twee kritieke kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. Onder bepaalde omstandigheden konden deze kwetsbaarheden een aanvaller in staat stellen om op afstand code uit te voeren op een kwetsbare server, zonder eerst in te loggen. PHP publiceerde updates om de kwetsbaarheden te verhelpen.

PHP wordt door veel websites en webapplicaties gebruikt. Daarom namen organisaties de melding serieus. Ook wij moesten snel beoordelen welke maatregelen nodig waren om onze hostingomgevingen en de websites van klanten zo goed mogelijk te beschermen.

Meer informatie over de kwetsbaarheden en de beschikbare updates vind je in het beveiligingsadvies van het PHP-team en bij het NCSC.

Snel maatregelen nemen en zorgvuldig controleren

We namen uit voorzorg ingrijpende maatregelen. Toen de beveiligingsupdates beschikbaar kwamen, voerden onze technische collega’s die met hoge prioriteit uit. We controleerden vervolgens of de kwetsbaarheden daadwerkelijk waren verholpen en of aanvullende aanpassingen nodig waren.

In onze laatste update aan klanten schreven we dat de benodigde beveiligingsupdates waren uitgevoerd. We vertelden er ook bij dat onze technische collega’s die dag nog een uitgebreide nacontrole zouden doen. Daarbij controleerden zij specifiek de betreffende kwetsbaarheden. Zo maakten we duidelijk wat al was gedaan én welk werk op dat moment nog liep.

Bij beveiligingsincidenten kan de situatie snel veranderen. Daarom deelden we updates zodra we nieuwe informatie hadden, ook wanneer een controle nog niet was afgerond. We kregen verschillende complimenten van klanten over de manier waarop en de frequentie waarmee we communiceerden. Dat waarderen we. Duidelijke informatie helpt klanten begrijpen wat er gebeurt en wat ze kunnen verwachten.

Ook vertelden we wat klanten van Support konden verwachten

De PHP-maatregelen vroegen veel inzet van onze technische collega’s en zorgden voor extra vragen bij Support. Daarom lieten we klanten weten dat de reactietijd op telefoontjes en supporttickets die dag langer kon zijn dan gebruikelijk. We vroegen om begrip en deden ons best om iedereen zo snel mogelijk te helpen.

We begrijpen dat beveiligingsmaatregelen impact kunnen hebben op klanten. Door ook over de bereikbaarheid van Support te communiceren, konden klanten hun verwachtingen daarop afstemmen. We bleven de situatie volgen en deelden wat op dat moment bekend was.

Wat is een backport?

Een vraag die tijdens de PHP-kwetsbaarheden naar voren kwam: wat betekent het als je nog een ouder PHP-versienummer ziet? Bij onze shared hosting gebruiken we CloudLinux. Die software kan een beveiligingsfix verwerken in een bestaande PHP-versie. Dat heet een backport.

Een beveiligingsfix uit PHP 8.5.12 kan bijvoorbeeld worden toegepast op PHP 8.5.11, zonder dat het zichtbare versienummer verandert. Dat kan handig zijn als een overstap naar een andere PHP-versie invloed zou kunnen hebben op bestaande websites of applicaties.

Daarom zegt een ouder versienummer op zichzelf niet of een beveiligingspatch ontbreekt. We controleren niet alleen het versienummer, maar ook of de benodigde patches daadwerkelijk zijn toegepast. Wil je weten hoe dit voor jouw hostingomgeving zit? Vraag het dan na bij je hostingprovider.

Wat kun je hiervan meenemen?

De PHP-kwetsbaarheden lieten zien hoe belangrijk het is om snel te reageren én klanten goed mee te nemen in wat er gebeurt. Voor website-eigenaren zijn dit nuttige aandachtspunten:

• Ga niet alleen op een zichtbaar PHP-versienummer af om de patchstatus te beoordelen.
• Vraag je hostingprovider welke beveiligingsupdates op de PHP-omgeving zijn toegepast.
• Houd ook de software van je website, zoals je CMS, thema’s en plugins, actueel. Wie die onderdelen beheert, hangt af van jouw afspraken en hostingoplossing.
• Neem bij twijfel contact op met de partij die jouw hostingomgeving of website beheert.

Hosting bestaat uit meer dan opslagruimte en een PHP-versie in een controlpanel. Ook technisch onderhoud, controles en heldere communicatie horen bij een hostingomgeving waarop je kunt bouwen.

Heb je vragen over de PHP-omgeving van je shared hosting? Neem contact op met InternetToday Support. Bekijk ook onze webhostingoplossingen.