Ter verduidelijking: Alle PHP-versies vanaf PHP 5.6 op onze webhostingservers zijn nu gepatcht tegen CVE-2026-109618 en CVE-2026-109619. Dat geldt voor de PHP-versies van DirectAdmin en voor alle versies uit de CloudLinux PHP Selector.

Toelichting op de PHP-versies: in de PHP Selector kan het lijken alsof je PHP-versie nog niet is bijgewerkt. Je ziet daar bijvoorbeeld 8.4.26 in plaats van 8.4.27, of 8.5.11 in plaats van 8.5.12. Toch is je versie wel gepatcht.

CloudLinux, de leverancier van deze PHP-versies, heeft de beveiligingsfix in de bestaande versies verwerkt. Het versienummer is daardoor gelijk gebleven, maar de beveiligingsupdate zit erin. Ook de oudere PHP-versies (5.6 tot en met 8.1) zijn op deze manier bijgewerkt.

Wil je het zelf controleren? Kijk dan in phpinfo() naar de “Build Date”. Is die 21 oktober 2026 of later, dan is je PHP-versie gepatcht.

Wil je liever het officiële versienummer van PHP gebruiken? Kies dan in de PHP Selector voor “native”. Die versie hebben we bijgewerkt naar de officiële release van PHP.

Alle PHP-versies uit de PHP Selector van CloudLinux zijn nu ook bijgewerkt.

Inmiddels hebben we ook de meeste PHP-versies uit de PHP Selector van CloudLinux bijgewerkt naar gepatchte versies. Voor een aantal versies en servers heeft CloudLinux de updates nog niet beschikbaar gesteld. Zodra dat gebeurt, zullen we deze ook installeren.

We hebben de standaard PHP-versies (8.2 en hoger) van DirectAdmin op al onze servers bijgewerkt naar de gepatchte versies. Gebruikt je website de standaardversie, in de PHP Selector “native” genoemd, dan is je website beschermd.

De overige PHP-versies die je via de PHP Selector kunt kiezen, worden geleverd door CloudLinux. CloudLinux verwacht de updates daarvoor vanavond uit te brengen. Zodra ze beschikbaar zijn, voeren we ze direct door. Tot die tijd blijven de tijdelijke beveiligingsmaatregelen actief.

PHP heeft de beveiligingsupdates uitgebracht (PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12). We zijn begonnen met het uitrollen van deze versies op al onze webhostingservers. De tijdelijke beveiligingsmaatregelen blijven actief tot de update overal is doorgevoerd.

Gebruik je PHP 8.1 of ouder? Voor die versies brengt PHP geen update uit. We raden je sterk aan om via de PHP Selector in DirectAdmin over te stappen op PHP 8.2 of hoger.

We laten het hier weten zodra de update op alle servers is geïnstalleerd.

Wil je je website uit voorzorg offline halen totdat de PHP-update is doorgevoerd? Dat kan zonder dat je e-mail wordt onderbroken.

Zelf doen: open in DirectAdmin de File Manager, ga naar domains/jouwdomein.nl/public_html en open het bestand .htaccess. Zie je het niet, zet dan het tonen van verborgen bestanden aan. Bestaat het bestand niet, maak dan een nieuw bestand met die naam. Plak deze regels helemaal bovenaan en sla op:

ErrorDocument 403 "Deze website is tijdelijk offline vanwege onderhoud."
Require all denied

Bezoekers zien dan een onderhoudsmelding. Je e-mail, FTP en DirectAdmin blijven gewoon werken. Wil je de website weer online zetten, verwijder dan deze twee regels.

Update: naast de eerdere maatregel blokkeert de webapplicatiefirewall (WAF) op onze webhostingservers nu ook bekende aanvalspogingen op deze kwetsbaarheid. De firewall heeft hiervoor vandaag nieuwe regels gekregen, en die zijn actief op al onze shared hosting servers.

Dit verkleint het risico verder, maar biedt geen volledige bescherming: de firewall herkent bekende aanvalspatronen, en de kwetsbaarheid kan mogelijk ook op andere manieren worden misbruikt. Volledige bescherming komt pas met de PHP-update, die vandaag om 16:00 uur verschijnt. We installeren die zo snel mogelijk nadat de bijgewerkte versies beschikbaar zijn.

Ons eerdere advies blijft staan: draai je een website of applicatie met gevoelige gegevens, weeg dan zelf af of je die tot de update offline wilt halen of in onderhoudsmodus wilt zetten.

Aanvulling: de maatregel die we vanochtend hebben genomen, verkleint het risico, maar dekt de kwetsbaarheid niet volledig af. Naar verwachting beschermt hij tegen één van de twee kwetsbaarheden. Volledige bescherming komt pas met de PHP-update, die vandaag om 16:00 uur verschijnt. We installeren die zo snel mogelijk nadat de bijgewerkte versies beschikbaar zijn.

Draai je een website of applicatie op PHP met gevoelige gegevens, weeg dan zelf af of je die tot de update offline wilt halen of in onderhoudsmodus wilt zetten.

Er is een kritieke kwetsbaarheid in PHP aangekondigd (CVE-2026-109618 en CVE-2026-109619). Het PHP-team brengt vandaag om 16:00 uur een beveiligingsupdate uit.

Vooruitlopend daarop hebben we op al onze webhostingservers een tijdelijke beveiligingsmaatregel genomen: de PHP-instelling session.upload_progress is uitgeschakeld. Je hoeft zelf niets te doen en je websites blijven gewoon werken. Alleen de zelden gebruikte functie om de voortgang van uploads via PHP-sessies bij te houden is tijdelijk niet beschikbaar.

Zodra de bijgewerkte PHP-versies beschikbaar zijn, installeren we die op al onze servers. We houden je via deze pagina op de hoogte.