Kritieke PHP-kwetsbaarheid: van melding tot beveiligingsupdate

Op woensdag 21 oktober werden twee kritieke kwetsbaarheden in PHP bekendgemaakt. Dat betekende direct schakelen: de risico’s beoordelen, tijdelijke maatregelen treffen, onze klanten te woord staan en klaarstaan om de definitieve beveiligingsupdates uit te rollen. Een terugblik op de aanpak en de rol van managed hosting wanneer beveiliging onder druk staat.

PHP vormt de basis van veel websites en applicaties, waaronder WordPress, Magento en Laravel. Juist daarom vroegen de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 om snelle actie. Beide kregen een CVSS-score van 9,2 en konden onder bepaalde omstandigheden leiden tot het uitvoeren van code op afstand, zonder authenticatie.

Om 09.12 uur informeerden we onze klanten middels een bericht op ons changelog. Daarin deelden we de technische informatie over de kwetsbaarheden en hielden we de ontwikkelingen bij. Om 10.49 uur ontvingen onze klanten een eerste notificatie per e-mail, met informatie over de situatie en de maatregelen die we namen.

Ondertussen werkten onze engineers aan het beperken van de risico’s en de voorbereiding van de beveiligingsupdates. Zo konden klanten de ontwikkelingen volgen, terwijl wij verder werkten aan de oplossing.

In afwachting van de officiële updates hebben we op alle servers een tijdelijke maatregel toegepast. Tussen 10.30 en 11.30 uur hebben we op alle servers de PHP-instelling session.upload_progress.enabled uitgeschakeld. Deze maatregel maakte misbruik via een specifieke aanvalsmogelijkheid moeilijker, maar bood geen volledige bescherming. Daarom bleef het doel helder: de officiële beveiligingsupdates zo snel mogelijk installeren zodra deze beschikbaar komen.

We hebben de voortgang gedurende de dag gedeeld via onze statuspagina, zodat klanten konden volgen welke maatregelen waren genomen en hoe de situatie zich ontwikkelde.

De kwetsbaarheid werd landelijk nieuws en riep begrijpelijkerwijs vragen op bij klanten. Wat betekende dit voor hun website of applicatie? Welke maatregelen waren al genomen? En wanneer zou er een definitieve oplossing zijn? We verwerkten deze dag bijna 200 telefoontjes en nog een veelvoud aan tickets. Vanuit alle hoeken sprongen collega’s bij om vragen op te pakken, klanten te woord te staan en elkaar te ondersteunen.

We hebben de afgelopen jaren hard gewerkt aan ons platform, Projects. Daar plukken we nu de vruchten van. Op het moment dat de bijgewerkte PHP-pakketten beschikbaar kwamen, zijn we direct gestart met het installeren van de beveiligingsupdates. Een paar minuten na het uitkomen van de security patches waren deze toegepast op alle managed servers. Projecten die preventief door gebruikers offline waren gehaald kwamen meteen weer beschermd terug. In één handeling 12.000 organisaties beschermd tegen wat een van de grotere kwetsbaarheden in de recente geschiedenis blijkt. Ook onze Ansible- en DirectAdmin-managed servers waren voor 18.00 uur geupdate. Daarmee stuurde we om 18.01 uur een laatste notificatie met de status:

Inmiddels zijn ook alle Direct Admin servers geupdate.

Deze kwetsbaarheden zijn met de beveiligingsupdates verholpen. De bredere aandacht voor softwarebeveiliging blijft relevant. Nieuwe CVE’s worden voortdurend bekendgemaakt. Niet iedere kwetsbaarheid vraagt om dezelfde actie, maar het is belangrijk om de risico’s tijdig te beoordelen en voorbereid te zijn om snel te handelen.