Kritieke kwetsbaarheid in PHP
Getroffen
Onderhoud van 10:00 AM naar 6:49 PM
Onderhoud van 10:00 AM naar 6:49 PM
Onderhoud van 10:00 AM naar 6:49 PM
Onderhoud van 10:00 AM naar 6:49 PM
Onderhoud van 10:00 AM naar 6:49 PM
Onderhoud van 10:00 AM naar 6:49 PM
- Opgelost · UTC
Het incident is afgerond. Alle servers zijn bijgewerkt met de PHP-versie die de kwetsbaarheden verhelpt, en de WAF is eerder vandaag bijgewerkt. Er is geen actie van jouw kant nodig. Heb je vragen of merk je iets vreemds aan je website, neem dan contact met ons op. Bedankt voor je geduld.
- Update · UTC
Alle servers zijn bijgewerkt met de PHP-versie die de kwetsbaarheid verhelpt. Je hoeft zelf niets te doen. We volgen het nieuws nog even op de voet op.
- Update · UTC
Klanten met een managed Plesk server kunnen het volgende aan hun eigen klanten communiceren:
Sinds vanochtend is de Web Application Firewall (WAF) bijgewerkt en scant die actief op pogingen om deze kwetsbaarheid te misbruiken. Daarnaast is een PHP-functie (het bijhouden van uploadvoortgang via sessies) tijdelijk uitgeschakeld. Je website blijft gewoon werken. De officiële fix wordt de komende uren verwacht en wordt onmiddellijk na beschikbaarheid geïnstalleerd. Tijdens die installatie kan je website kortstondig onbereikbaar zijn.
- Update · UTC
De eerste servers worden bijgewerkt. Tijdens de installatie kan je website of server kortstondig onbereikbaar zijn. We houden je via deze pagina op de hoogte.
- Monitoring · UTC
De PHP-community heeft een fix uitgebracht om deze kwetsbaarheid te verhelpen. Zodra deze beschikbaar is voor onze servers, installeren we hem onmiddellijk. Tijdens de installatie kan je website of server kortstondig onbereikbaar zijn.
- Geïdentificeerd · UTC
Er is een kritieke kwetsbaarheid in PHP aangekondigd (CVE-2026-109618 en CVE-2026-109619). Het PHP-team brengt vandaag om 16:00 uur een beveiligingsupdate uit.
Vooruitlopend daarop hebben we op al onze webhostingservers een tijdelijke beveiligingsmaatregel genomen: de PHP-instelling session.upload_progress is uitgeschakeld. Je hoeft zelf niets te doen en je websites blijven gewoon werken. Alleen de zelden gebruikte functie om de voortgang van uploads via PHP-sessies bij te houden is tijdelijk niet beschikbaar.
Daarnaast hebben we de WAF (Web Application Firewall) bijgewerkt, zodat je websites extra beschermd zijn tegen pogingen om deze kwetsbaarheid te misbruiken.
Zodra de bijgewerkte PHP-versies beschikbaar zijn, installeren we die op al onze servers. We houden je via deze pagina op de hoogte.
Wil je je website uit voorzorg offline halen totdat de PHP-update is doorgevoerd? Dat kan zonder dat je e-mail wordt onderbroken.
Zelf doen: ga in Plesk naar Websites & Domeinen, kies je domein en open Bestanden (File Manager). Open de map httpdocs en daarin het bestand .htaccess. Zie je het niet, schakel dan het tonen van verborgen bestanden in via de instellingen van de File Manager. Bestaat het bestand nog niet, maak dan een nieuw bestand aan met die naam. Plak onderstaande regels helemaal bovenaan en sla het bestand op:
ErrorDocument 403 "Deze website is tijdelijk offline vanwege onderhoud."
Require all denied
Bezoekers zien vanaf dat moment een onderhoudsmelding. Je e-mail, FTP en toegang tot Plesk blijven gewoon werken.
Weer online zetten: verwijder de twee regels uit het bestand en sla het op.
Let op: deze methode werkt alleen als Apache de website afhandelt. Staat het domein ingesteld op “Alleen nginx” (zonder Apache), dan wordt .htaccess genegeerd en blijft de site gewoon bereikbaar. Controleer dit na het opslaan even door de website in een privévenster te openen.