Veiligheidsmelding · PHP2Shell
Je website is tijdelijk offline, uit voorzorg.
Je Startx-website of -applicatie is even niet bereikbaar. We hebben onze systemen bewust offline gehaald vanwege twee kritieke PHP2Shell-kwetsbaarheden. Zodra de officiële patches er zijn, zetten we alles veilig terug online.
01 — Wat is er aan de hand?
Een lek in de taal waarop het halve web draait
PHP is de scriptingtaal achter dynamische webpagina's. Ongeveer 69,3% van alle websites wereldwijd gebruikt ze, waaronder alles wat gebouwd is met WordPress, Joomla, Drupal of Magento.
De PHP-ontwikkelaars wilden hun patches donderdag uitbrengen, maar informatie over de kwetsbaarheden is vannacht uitgelekt. Het ontwikkelteam geeft om 16.00 uur meer informatie en verwacht dan ook de patches vrij te geven. Online circuleren tips om de risico's te beperken, maar die lijken onvoldoende bescherming te bieden.
Ernst
9,2 / 10
Score op de CVSS v4.0-schaal: ernstig én makkelijk te misbruiken.
Kwetsbaarheden
2
CVE-2026-109618 en CVE-2026-109619
Aanwezig sinds
2012
Alle PHP-versies vanaf 5.4.0 zijn getroffen.
02 — Waarom zo ernstig?
Aanvallers kunnen een website volledig overnemen
Via de kwetsbaarheden kunnen aanvallers eigen webpagina's publiceren en zo mogelijk malware verspreiden. Bovendien zou de zogeheten PHP2Shell-exploit het mogelijk maken om eigen code uit te voeren op kwetsbare servers.
Eén van de twee lekken heeft te maken met multipart POST-requests. Dergelijke verzoeken blokkeren, of PHP afschermen via een dienst als Akamai of Cloudflare, kan het risico verkleinen. Maar een kernontwikkelaar van PHP is duidelijk: alleen patchen beschermt echt. Daarom kiezen wij voor de veilige weg en halen we de systemen offline tot de patches er zijn.
03 — Wat wij doen
Patchen, testen en zo snel mogelijk terug online
-
01
Systemen uit voorzorg offline
Zo kunnen aanvallers het lek niet misbruiken in de uren voor de patch er is. Je gegevens blijven veilig bewaard.
-
02
Patches installeren voor PHP 8.2 tot en met 8.5
Deze versies krijgen nog officiële ondersteuning. Zodra de patches vrijgegeven zijn, rollen we ze uit en testen we elke site.
-
03
Draait je site nog op PHP 7? Dan upgraden we
Oudere versies krijgen officieel geen patches meer (PHP 8.1 is sinds januari end-of-life, 8.0 sinds eind 2023). Websites op PHP 7 upgraden we naar de nieuwste versie. Is daar meer dan 4 uur werk voor nodig, dan nemen we eerst contact met je op.
04 — Vragen?
Bel ons gerust
We houden je op de hoogte zodra je website weer online is. Alvast bedankt voor je begrip.
Simon en SeppeStartx