Onderwerp: PHP CVSS v4.0 9.2 vulnerabilities: stappen - Pagina 12

Is er informatie over de CVSS v4.0 9.2 vulnerabilities in PHP die straks worden bekendgemaakt? Moeten users op shared hosting stappen ondernemen of worden de phpversies gepatched door vimexx?

Graag meer info over welke stappen klanten moeten nemen en welke stappen Vimexx neemt.

Kan je de link delen waar je dit gelezen hebt Bart? Ik zit zelf op 8.3.35 nu, dus uitgaande van jouw bericht zou dat ook safe moeten zijn nu. Maar inderdaad, zou fijn/minimale communicatie zijn als Vimex hier zelf ook wat over zegt

Update (01:15): Inmiddels komen eindelijk de laatste updates binnen, en zijn we daarom druk bezig met het installeren hiervan op al onze servers. Sommige servers zullen al de nieuwste software hebben, en we gaan niet eerder slapen dan wanneer dit op alle servers het geval is!

Update (04:15): PHP is inmiddels op alle servers volledig up-to-date, daarnaast hebben we van de gelegenheid gebruik gemaakt om op servers waar dit beschikbaar was ook nieuwere PHP versies te installeren.

Alles staat nog op 8.3 (8.3.22) kan helemaal geen nieuwe(re) versies activeren. Wat een verwarrend bericht op status.vimexx.nl....

Hier ook nog steeds 8.3.22 (en 8.3 is de hoogst beschikbare versie). Het lijkt me onwaarschijnlijk dat de patches daarop toegepast zijn.

@Bryan: klopt, 8.4.26 en 8.3.35 zou volgens deze informatie veilig zijn, en als dit ook geldt voor de 8.2 en 8.5 trein zouden 8.5.11 en 8.2.34 ook veilig moeten zijn, maar hier lees ik niets over. Ze geven alleen maar aan dat hun versienummer lager ligt dan die van PHP.. super onduidelijk weer..

Ik heb de informatie gevonden op:

https://blog.cloudlinux.com/php-cve-2026-109618-and-cve-2026-109619#step-3-update-cloudlinux-php-packages

"How to confirm the fix. Our packages carry the fix as a backport, so their version numbers stay below PHP’s: ea-php84, for example, is 8.4.26, not 8.4.27. "

@Sidney/Huub: je zou kunnen proberen om via "Select PHP version" in DirectAdmin de PHP versie op te schroeven naar 8.4 om te kijken of die wel de gepatchte variant betreft, dan ben je iig veilig en kun je vervolgens je websites gaan testen.. (weet natuurlijk niet hoeveel websites je hebt en of dit zo makkelijk voor je is.. maar het is een methode)

Met phpinfo() zie ik inderdaad nog 8.3.35 staan, net zoals gisteravond, maar de build date lijkt wel nieuwer. Ik weet niet meer welke datum er gisteren stond, maar nu staat er Oct 21 2026 20:13:30. Dus een nieuwe build.

Zou wel handiger zijn als Vimexx daar duidelijker over zou communiceren, want overal lees je welk versienummer je nodig hebt en het lijkt alsof het nog steeds niet gepatcht is. Maar goed, om 04:15 uur ben je wellicht iets minder helder. Hopelijk zetten ze dat straks nog recht.

0097 nog steeds op 8.3.22 zegt ie bij mij ..................

Geen mogelijkheid om te verhogen oid.....

@Wouter: wat is de build date? Als het een nieuwe build date is dan geldt voor 8.3 wellicht dat 8.3.22 al veilig is

@Bart: Ik zou 8.4 wel willen proberen, maar 8.3 is de hoogste versie waaruit ik kan kiezen.

• PHP Version 8.3.22

• Build Date Jun 6 2025 14:59:41

Aan de build date te zien is de patch er zeker niet op toegepast.