Op 21 oktober werd een ernstig beveiligingslek in PHP bekend. Het heet php2shell (CVE-2026-109618 en CVE-2026-109619). De meeste websites draaien op PHP, ook WordPress. Je hebt dus vast vragen. Loop ik risico? Is mijn server gepatcht? Moet ik iets doen?
Het korte antwoord: ja, elke webhostingserver is gepatcht. Voor de meeste websites hoef je niets meer te doen. Hieronder lees je hoe het precies zit.
Loop ik risico?
Alleen websites op onze webhosting die PHP gebruiken, liepen risico. Dat zijn wel de meeste websites, want WordPress, Joomla en de meeste andere systemen werken met PHP.
Je e-mail bleef de hele tijd gewoon werken. IMAP, POP3, SMTP en SiteBirdy zijn nooit uitgezet. Heb je alleen domeinnamen en e-mail, zonder webhosting? Dan hoef je niets te controleren.
Is mijn server gepatcht?
Ja. Binnen een dag hebben we de patch op al onze webhostingservers geïnstalleerd:
- 21 oktober, 's avonds: onze LiteSpeed-servers. Dat zijn da016 tot en met da045, behalve da033 en da038.
- In de nacht van 21 op 22 oktober: onze CloudLinux-servers da004 tot en met da015, da033, da038, da046 en da047. Die kwamen als laatste aan de beurt, omdat CloudLinux zijn patch later uitbracht.
Alle PHP-versies van 5.6 tot en met 8.5 zijn gepatcht.
Weet je niet op welke server je website staat? Log in op DirectAdmin. In de adresbalk van je browser zie je dan de servernaam, bijvoorbeeld da021.site.eu.
Goed om te weten: op onze CloudLinux-servers kan PHP nog hetzelfde versienummer laten zien als voorheen, zoals 8.5.11. Dat is geen probleem. CloudLinux heeft de patch toegevoegd aan de versie die je al had.
Moet ik iets doen?
Waarschijnlijk niet. Maar controleer wel deze drie dingen:
- Heb je je website offline gehaald? Op 21 oktober raadden we aan om websites met gevoelige gegevens offline te halen tot de patch geïnstalleerd was. Je kunt je website nu veilig weer online zetten.
- Gebruikt je website PHP 5.5 of ouder? Die versies hebben geen patch gekregen. Stap zo snel mogelijk over op een nieuwere versie. Zoek in DirectAdmin op "PHP" en open Select PHP Version. Kies het liefst PHP 8.2 of hoger. Een oude website werkt niet altijd op een nieuwe versie. Controleer je website dus meteen na de overstap.
- Zie je iets vreemds op je website? Pagina's die je niet zelf hebt gemaakt, nieuwe beheerders of bestanden die je niet kent? Lees wat je doet als je WordPress-website gehackt is en neem contact met ons op.
Webmail en phpMyAdmin werken weer
Voor de zekerheid hebben we op 21 oktober twee tools een paar uur uitgezet: de webmail Roundcube op mail.site.eu en phpMyAdmin op de webhostingservers. Diezelfde avond werkten ze allebei weer. Je kunt gewoon inloggen op webmail, zoals je gewend bent.
Sindsdien hebben we ook al onze servers nagelopen en de beveiliging nog verder aangescherpt.
Vragen?
Neem gerust contact op met ons supportteam. We kijken graag samen met je naar je website en je server.
