Kritieke PHP-kwetsbaarheden: officiële beveiligingsupdates beschikbaar
Beveiligingsbericht | Kritieke prioriteit
Gepubliceerd: 21 oktober 2026
Laatst bijgewerkt: 21 oktober 2026, 17:31 uur
Yourcloudweb volgt momenteel twee kritieke beveiligingskwetsbaarheden in PHP die wereldwijd gevolgen hebben voor websites, webapplicaties en hostingplatformen.
De kwetsbaarheden zijn geregistreerd als CVE-2026-109618 en CVE-2026-109619 en worden ook aangeduid als PHP2Shell.
Beide kwetsbaarheden hebben een ernstscore van 9,2 op 10.
Door misbruik van deze kwetsbaarheden kunnen kwaadwillenden onder bepaalde omstandigheden zonder voorafgaande authenticatie ongeautoriseerde code uitvoeren op kwetsbare servers.
Update 21 oktober, 17:31 uur: beveiligingspatches beschikbaar
Er is een belangrijke ontwikkeling.
Het PHP Security Team heeft de officiële beveiligingsupdates uitgebracht. Inmiddels heeft ook hostingplatform Plesk bevestigd dat de gecorrigeerde PHP-versies voor Linux beschikbaar zijn.
De volgende PHP-versies bevatten de beveiligingscorrecties:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Deze versies verhelpen beide kritieke beveiligingskwetsbaarheden.
Plesk heeft bevestigd dat de aangepaste PHP-pakketten voor Linux beschikbaar zijn.
Voor Plesk-installaties op Windows en bepaalde oudere PHP-versies worden nog aanvullende beveiligingsupdates ontwikkeld.
Daarnaast bereidt Plesk afzonderlijke beveiligingsupdates voor de PHP-componenten van het beheerpaneel zelf voor.
Wat betekent dit voor websites?
De kwetsbaarheden bevinden zich in PHP zelf.
PHP is een programmeertaal die wereldwijd wordt gebruikt voor het functioneren van websites en webapplicaties.
Onder andere WordPress, WooCommerce, Joomla, Drupal en diverse andere applicaties maken gebruik van PHP.
Dit betekent dat een website kwetsbaar kan zijn wanneer de onderliggende PHP-installatie niet is bijgewerkt, ook als de website zelf en alle bijbehorende plug-ins volledig actueel zijn.
Het installeren van de gecorrigeerde PHP-versies is daarom noodzakelijk.
Technische oorzaak bevestigd
Het PHP Security Team heeft inmiddels de technische oorzaken van beide kwetsbaarheden bekendgemaakt.
Beide problemen hebben betrekking op het interne geheugenbeheer van PHP.
Hierdoor kunnen onder specifieke omstandigheden ongeautoriseerde instructies worden uitgevoerd.
De kwetsbaarheden kunnen verschillende PHP-configuraties beïnvloeden, waaronder PHP-FPM en Apache.
Het risico is daarmee niet beperkt tot een specifieke website of plug-in.
Internationale beveiligingswaarschuwingen
Verschillende internationale beveiligingsorganisaties hebben gewaarschuwd voor de ernst van deze kwetsbaarheden.
CERT-EU heeft zijn officiële beveiligingsadvies bijgewerkt en adviseert organisaties om de beschikbare beveiligingsupdates onmiddellijk te installeren.
Ook zijn inmiddels technische demonstraties van mogelijke aanvallen beschikbaar gekomen.
Internationale beveiligingsbedrijven hebben daarnaast meldingen ontvangen van actieve aanvalspogingen.
Er is op dit moment geen betrouwbaar wereldwijd overzicht beschikbaar van het aantal daadwerkelijk succesvol gecompromitteerde servers.
Wat doet Yourcloudweb?
De veiligheid en continuïteit van onze hostinginfrastructuur en klantomgevingen hebben onze hoogste prioriteit.
Yourcloudweb behandelt deze situatie als een kritiek beveiligingsincident.
Sinds de eerste beveiligingswaarschuwingen zijn wij actief bezig met het inventariseren, controleren en beveiligen van onze hostingomgevingen.
Onze werkzaamheden bestaan onder andere uit:
- Het controleren van geïnstalleerde PHP-versies.
- Het installeren van beschikbare beveiligingsupdates.
- Het controleren van actieve PHP-configuraties.
- Het beoordelen van aanvullende beveiligingsmaatregelen.
- Het controleren van de werking van websites na updates.
- Het opvolgen van beveiligingsadviezen van PHP, Plesk en CERT-EU.
De officiële beveiligingspatches zijn inmiddels beschikbaar voor de actuele PHP-versies op Plesk voor Linux.
Wij voeren deze updates gecontroleerd door en controleren daarbij de werking van de betreffende websites en applicaties.
Ook blijven wij de aanvullende beveiligingsupdates voor het Plesk-beheerpaneel volgen.
Zijn de websites van Yourcloudweb veilig?
De beschikbaarheid van de officiële beveiligingsupdates is een belangrijke stap.
Een website die daadwerkelijk gebruikmaakt van een gecorrigeerde PHP-versie, is beschermd tegen de twee kwetsbaarheden die met deze updates worden verholpen.
Wij controleren daarom niet alleen of de nieuwe PHP-versies zijn geïnstalleerd, maar ook of de betreffende websites daadwerkelijk gebruikmaken van deze versies.
Daarnaast blijven wij aandacht besteden aan de beveiliging van de hostingservers en de gebruikte beheersoftware.
Het installeren van een beveiligingsupdate betekent overigens niet automatisch dat een systeem vóór de installatie niet is aangevallen. Daarom blijven aanvullende controles belangrijk.
Moet u zelf iets doen?
Maakt uw website gebruik van een volledig door Yourcloudweb beheerde hostingomgeving, dan verzorgen wij de benodigde beveiligingsupdates.
U hoeft hiervoor in principe zelf geen technische handelingen uit te voeren.
Gebruikt u een eigen VPS, dedicated server of zelfstandig beheerde PHP-installatie, dan adviseren wij om de beschikbare beveiligingsupdates zo spoedig mogelijk te installeren.
Voor zelfstandig beheerde omgevingen blijft de verantwoordelijkheid voor het installeren van updates afhankelijk van de overeengekomen dienstverlening.
Tijdlijn beveiligingsincident
21 oktober 2026, 17:31 uur
Plesk bevestigt officieel dat de beveiligingspatches voor PHP 8.2, 8.3, 8.4 en 8.5 op Linux beschikbaar zijn.
CERT-EU heeft zijn beveiligingsadvies bijgewerkt met technische informatie en concrete beveiligingsmaatregelen.
21 oktober 2026, 15:30 uur
Het PHP Security Team publiceert de officiële beveiligingsupdates.
De gecorrigeerde versies zijn PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12.
21 oktober 2026, middag
Plesk bevestigt dat ook de PHP-componenten van het beheerpaneel zelf betrokken zijn.
De leverancier kondigt afzonderlijke beveiligingsupdates aan.
21 oktober 2026, ochtend
Internationale beveiligingsbedrijven melden de eerste aanvalspogingen.
Aanvullende beveiligingsmaatregelen worden voorbereid en toegepast.
20 oktober 2026
Het PHP Security Team kondigt twee kritieke beveiligingskwetsbaarheden aan met een ernstscore van 9,2 op 10.
Wij blijven de ontwikkelingen volgen
Hoewel de officiële PHP-beveiligingsupdates inmiddels beschikbaar zijn, blijft het belangrijk om ook de resterende leveranciersupdates en beveiligingsadviezen te volgen.
Yourcloudweb blijft onze hostinginfrastructuur controleren en voert de noodzakelijke beveiligingsupdates zo spoedig mogelijk uit.
Dit nieuwsbericht wordt bijgewerkt zodra nieuwe relevante en bevestigde informatie beschikbaar is.
Yourcloudweb B.V.
Beveiligingsinformatie voor onze klanten
