Onderwerp: PHP CVSS v4.0 9.2 vulnerabilities: stappen

Is er informatie over de CVSS v4.0 9.2 vulnerabilities in PHP die straks worden bekendgemaakt? Moeten users op shared hosting stappen ondernemen of worden de phpversies gepatched door vimexx?

Graag meer info over welke stappen klanten moeten nemen en welke stappen Vimexx neemt.

Voor meer informatie zie ook https://tweakers.net/nieuws/253568/php-waarschuwt-voor-twee-ernstige-bugs-die-makkelijk-uit-te-buiten-lijken.html

Ja ik ben ook benieuwd naar de plannen van Vimexx hierin.

https://jackalsyn.com/posts/php-up-2026.html

2. Apply the stopgap (best-intel, low-risk, reversible)

In php.ini / .user.ini / .htaccess:

php.ini[stopgap]

session.upload_progress.enabled = Off

^ Helaas kan dit niet worden aangepast in DirectAdmin bij Vimexx

Dit werkt wel: https://github.com/syhunt/php2shell-protection

Bovenstaande oplossing werkt niet. Dit werd bevestigd door een core PHP dev. Het is wachten op de patch. Die zou moeten arriveren om 14:00 UTC tijd.

Ik heb contact opgenomen met de chat en kreeg daar deze reactie:

Onze systeembeheerders zijn op de hoogte van het probleem en houden de situatie nauwlettend in de gaten. Zodra de patch gepubliceerd wordt gaan zij gelijk aan de slag. Zodra er een update beschikbaar is, wordt deze direct doorgevoerd. Meer details kunnen we momenteel helaas niet delen.

Wat kun je zelf doen?
1. Stel je PHP-versie in op minimaal 8.2 (controleer goed of deze compatible is met jouw website).
2. Voeg onderstaande regel toe aan je .htaccess-bestand:
php_value session.upload_progress.enabled Off

Ook zal de status te volgen zijn op status.vimexx.nl

Ik heb onze website op zwart gezet via .htaccess, maar de phpmyadmin interface blijft bereikbaar. Enig idee hoe die tijdelijk kan uitgezet worden?

8.2 is net zo kwetsbaar, de php_value session.upload_progress.enabled Off werkt NIET volgens een core PHP dev.

Hoe kan PHP uitgeschakeld worden op de server via directadmin of anders?

Ik heb de sites ook offline gehaald, maar de PHPadmin blijft een risico... @vimexx, dat is iets wat alleen door jullie gedaan kan worden

Wat is de beste manier om af te schermen?

Wat is de beste manier om af te schermen?

Ik heb nu het volgende in mijn .htaccess staan

ErrorDocument 503 /maintenance.html

RewriteEngine On

RewriteCond %{REQUEST_URI} !^/maintenance\.html

RewriteRule ^ - [R=503,L]

Header always set Retry-After "7200"

en een maintenance.html aangemaakt die het wat uitlegt.