ClassICT NOC
Meldingen

Websites tijdelijk offline – kritieke PHP-kwetsbaarheden (CVE-2026-109618 / CVE-2026-109619)

Opgelost
Webhosting Klantportaal
  1. Opgelost

    Alle websites op ons hostingplatform zijn weer volledig bereikbaar. Ook na een extra controleperiode zien we geen afwijkend gedrag meer. Daarmee sluiten we dit incident af.

    Kort samengevat:

    • Op 21 oktober hebben we uit voorzorg alle websites offline gehaald, nadat er twee kritieke lekken in PHP bekend werden en er al aanvallen werden gemeld.

    • Direct na het uitkomen van de officiële patch om 16:00 hebben we alle PHP-versies bijgewerkt en per server gecontroleerd.

    • Websites die nog op een PHP-versie zonder fix draaiden, zijn overgezet naar een ondersteunde versie.

    • Daarna zijn de websites stap voor stap weer online gezet.

    • E-mail en DNS hebben de hele tijd gewoon gewerkt.

    Bedankt voor je geduld en begrip. Werkt je website toch niet zoals verwacht? Neem dan contact met ons op via de servicedesk.

  2. Monitoren

    Het PHP-securityteam heeft om 16:00 (NL-tijd) de beveiligingsupdate uitgebracht voor CVE-2026-109618 en CVE-2026-109619. We hebben die update direct op ons hostingplatform geïnstalleerd.

    Wat we hebben gedaan:

    • Alle ondersteunde PHP-versies op de betreffende servers bijgewerkt naar de gepatchte versies (8.2.35, 8.3.36, 8.4.27 en 8.5.12).

    • Per server gecontroleerd dat er geen kwetsbare PHP-processen meer actief zijn.

    • Websites die nog op een PHP-versie zonder fix draaiden, overgezet naar een ondersteunde versie.

    • De websites weer online gezet en gecontroleerd of ze via IPv4 en IPv6 bereikbaar zijn.

    • Alle websites zijn weer bereikbaar. E-mail en DNS hebben de hele tijd gewoon gewerkt.

    De komende tijd houden we het platform extra in de gaten op afwijkend gedrag. Werkt je website niet zoals verwacht, of zie je iets vreemds? Neem dan contact met ons op via de servicedesk.

  3. Onderzoek

    Getroffen diensten: servers waar PHP op draait

    Niet getroffen: e-mail, DNS

    21 okt 2026, Websites offline gehaald

    Het PHP-securityteam heeft twee kritieke kwetsbaarheden in PHP bekendgemaakt: CVE-2026-109618 en CVE-2026-109619, allebei met CVSS-score 9.2. Via deze lekken kunnen aanvallers op afstand code uitvoeren op webservers. De details zijn uitgelekt voordat er een patch was, en er worden al actieve aanvallen gemeld.

    Om de websites en gegevens van onze klanten te beschermen, hebben we uit voorzorg alle websites op ons hostingplatform tot nader order offline gehaald. HTTP en HTTPS zijn dicht, via IPv4 en IPv6. E-mail en DNS blijven gewoon werken.

    De officiële patch wordt verwacht op 21 oktober om 16:00 (NL-tijd). Zodra die beschikbaar is, installeren we hem direct. Daarna zetten we de websites na controle stap voor stap weer online.

    Je hoeft zelf niets te doen. We houden deze pagina bij met updates.