PHP-lek: alle PHP-sites bijgewerkt en weer online

Stand: klaar. Alle PHP-sites op Cubli zijn bijgewerkt en weer online. Je hoefde zelf niets te doen.

Op 21 oktober zijn twee ernstige lekken in PHP bekend geworden: CVE-2026-109618 en CVE-2026-109619, ook wel “PHP2Shell” genoemd. Via deze lekken kon een aanvaller onder bepaalde omstandigheden eigen code laten draaien op een server met PHP. PHP is de programmeertaal onder onder meer WordPress, WooCommerce en Shopware.

Wat we hebben gedaan

1. Vanochtend, extra instellingen. Op elke PHP-site zetten we de instellingen die PHP en beveiligingsbedrijven adviseerden.
2. Vanaf ongeveer 15:00, offline uit voorzorg. Op advies van onder meer CERT-EU en het NCSC hebben we alle PHP-sites tijdelijk offline gehaald tot de update er was. Databases, bestanden en back-ups bleven bewaard.
3. Vanaf 16:00, de update. PHP bracht de fix om 16:00 uit. De bijgewerkte basis voor onze servers was er om 18:48 en die voor WordPress om 19:45.
4. Vanaf 20:00, bijgewerkt en weer online. Alle WordPress-sites (ook met WooCommerce) draaien nu op PHP 8.4.27 en de Shopware-shops op PHP 8.5.12, de versies met de fix. Elke WordPress-site kreeg eerst een back-up en een controle vooraf en achteraf. Bij geen enkele site moest de vorige versie terug. We hebben per site gecontroleerd dat de nieuwe versie draait.

Sites zonder PHP waren niet geraakt en bleven de hele tijd online.

Wat we ervan leren

We moesten een paar uur wachten tot de bijgewerkte PHP-basis voor onze servers klaarstond. Daarom bouwen we die basis voortaan zelf. Zo hoeven we bij een volgende fix voor PHP niet meer op een ander te wachten.

Vragen

• Moet ik nog iets doen? Nee, niet voor je sites op Cubli. Heb je ook sites bij een andere hoster of op een eigen server? Vraag daar na of PHP is bijgewerkt.
• Ben ik iets kwijtgeraakt? Nee. Je database, je bestanden en je back-ups zijn bewaard gebleven.
• Nog een vraag? Mail info@cubli.io.