Beveiligingslek in PHP (PHP2Shell)
Deze week werd een ernstig beveiligingslek in PHP bekend, de software waarop onder andere WordPress draait. Het lek zat niet in websites of plugins, maar een laag dieper, in de serversoftware.
Kwetsbaarheden: CVE-2026-109618, CVE-2026-109619
Updates
- Opgelost
Het lek is overal gedicht en we sluiten deze melding af.
Er zijn geen websites gehackt en er zijn geen gegevens gestolen. Doordat wij en onze hostingpartners snel hebben gehandeld, zijn de websites maar kort kwetsbaar geweest. We hebben alle websites gecontroleerd op ongewone wijzigingen, nieuwe beheerders en verdachte bestanden, en we hebben geen verdachte activiteit gezien. Ook onze hostingpartners hebben geen misbruik gemeld.
Je hoeft zelf niets te doen. We blijven de websites zoals altijd bewaken. Heb je vragen? Mail dan naar status@webmazing.nl.
- Bijgewerkt, we houden het in de gaten
Alle servers waarop de websites van onze klanten draaien, zijn bijgewerkt: onze eigen servers en die van onze hostingpartners.
Voor oudere PHP-versies is de beveiligingsupdate in de bestaande versie verwerkt. Het versienummer blijft dan gelijk, maar het lek is wel gedicht. Oude PHP-versies zonder update hebben we op onze eigen servers uitgeschakeld.
Inmiddels hebben we alle websites weer online gezet.
- Update wordt doorgevoerd
Aan het eind van de middag heeft het PHP-team de beveiligingsupdates uitgebracht. Bij onze grootste hostingpartner zijn alle actuele PHP-versies direct bijgewerkt. Voor oudere PHP-versies wordt een aangepaste beveiligingsupdate uitgerold.
- Voorzorgsmaatregelen genomen
In overleg met onze hostingpartners hebben we besloten om uit voorzorg een aantal websites tijdelijk offline te halen, totdat de updates waren doorgevoerd.
- Oorzaak bekend
Er zijn twee ernstige kwetsbaarheden in PHP bekendgemaakt. We zijn direct in overleg gegaan met onze hostingpartners en volgen de situatie nauwlettend. Er is nog geen officiële oplossing; de hostingpartners hebben alvast extra beveiligingsmaatregelen genomen.