Onderwerp: PHP CVSS v4.0 9.2 vulnerabilities: stappen - Pagina 14

Is er informatie over de CVSS v4.0 9.2 vulnerabilities in PHP die straks worden bekendgemaakt? Moeten users op shared hosting stappen ondernemen of worden de phpversies gepatched door vimexx?

Graag meer info over welke stappen klanten moeten nemen en welke stappen Vimexx neemt.

Bert/Kevin/Nick, dat zijn veilige versies (8.5.11 + 8.4.26 o.a.) .. zie eerdere berichten die ik heb geschreven over backports. je kunt ook de builddatum checken, dan zul je zien dat dat gisteren/eergisteren was.

Ik had bij CloudLinux al gezien dat jun versie nummering een aparte 8.4.26-2 was (wat met phpversion/info waarschijnlijk als 8.4.26 terugbkomt maar Vimexx… COMMUNICATIE, ik geloof ze nu even niet op hun woord dus hou mijn sites nog offline tot ik het heb kunnen testen en Vimexx wat heeft aangegeven

@Sidney: als dat je enige opties zijn dan is de server inderdaad niet gepatched, ff een case aanmaken bij vimexx dan lijkt me, dan kunnen ze het nakijken voor je.

Enig idee wanneer de shared hosting echt wordt gepatched? Want mijn php versie loopt nog achter zie ik via phpinfo(). Wij hebben nog versie 8.2.34 en 8.3.35, enzovoort ipv 8.2.35 en 8.3.36. En dat terwijl het volgende was aangegeven op status.vimexx.nl:

Update (04:15): PHP is inmiddels op alle servers volledig up-to-date, daarnaast hebben we van de gelegenheid gebruik gemaakt om op servers waar dit beschikbaar was ook nieuwere PHP versies te installeren.

van https://status.vimexx.nl/: "Update (04:15): PHP is inmiddels op alle servers volledig up-to-date, daarnaast hebben we van de gelegenheid gebruik gemaakt om op servers waar dit beschikbaar was ook nieuwere PHP versies te installeren."

Toch heeft mijn hosting versie 8.2.34, dat is dus niet met de patch (8.2.35)?!

Ik heb met info php gekeken, de mijne zegt ook gewoon nog een onveilige versie 8.4.22 en build date jun 19 2026. Dus de mijne is ook nog niet geupdate begrijp ik dat goed?

Op Web 0111 ook alleen oude versies. Ook niet hoger te kiezen dan 8.3 (8.3.22 build okt 2023)

Zojuist gecheckt en PHP 8.5 heeft ook nog een oudere release van september "8.5.11"? Iemand anders hetzelfde.

De pakketcontrole loopt tegen een beperking aan: het programma waarmee CloudLinux de geïnstalleerde reparaties laat controleren (rpm) is binnen jouw hostingaccount niet beschikbaar. Ik controleer nu de actuele PHP-build; alleen het versienummer is onvoldoende om een backport te bevestigen.

Er staat inmiddels een nieuwe PHP-build op mijn server.

Dat heb ik zojuist om 09:05 uur Nederlandse tijd via

DirectAdmin vastgesteld:

Controle

Gisteren

Nu

PHP LiteSpeed-versie

8.4.26

8.4.26

Bouwdatum van het programma

6 oktober 2026, 08:47:19

21 oktober 2026, 20:29:42

Het versienummer is gelijk gebleven, maar het programma is opnieuw gebouwd. Dat past bij de werkwijze die CloudLinux beschrijft: beveiligingsreparaties kunnen worden toegepast binnen hetzelfde versienummer. CloudLinux-beveiligingsmelding.

Dit is concrete vooruitgang, maar nog geen sluitend bewijs dat beide kwetsbaarheden voor jouw websites zijn verholpen. Ik heb de geïnstalleerde pakketgegevens geprobeerd te controleren, maar het daarvoor benodigde programma rpm is binnen jouw hostingaccount niet beschikbaar. Ook is nog niet vastgesteld of de actieve websiteprocessen de nieuwe build gebruiken.

De resterende bevestiging van Vimexx moet daarom zijn: zijn op web0141.zxcs.nl beide reparaties voor CVE-2026-109618 en CVE-2026-109619 geïnstalleerd voor alt-PHP 8.4, en zijn de bijbehorende LiteSpeed/PHP-processen daarna herstart?

heb ik ook rechtstreeks vastgesteld dat het PHP 8.4.26 via LiteSpeed gebruikt.

Al mijn websites draaien momenteel nog op PHP-versies die volgens de officiële release-informatie niet zijn gepatcht, terwijl Vimexx meldt dat alle servers inmiddels zijn bijgewerkt.

Als ik de reacties zo lees, vermoed ik dat Vimexx de beveiligingspatches via backporting heeft toegepast op de oudere PHP-releases. Dat zou een logische verklaring kunnen zijn.

Opvallend is namelijk dat PHP 8.5.11 onlangs beschikbaar is gekomen, terwijl de officieel gepatchte versie PHP 8.5.12 is. Hetzelfde geldt voor PHP 8.3.35, terwijl de beveiligingspatch in PHP 8.3.36 zit.

Mogelijk heeft Vimexx de kwetsbaarheden dus verholpen zonder de zichtbare PHP-versienummers te wijzigen. Dat zou verklaren waarom Vimexx aangeeft dat alle servers up-to-date zijn, terwijl mijn sites nog oudere PHP-versies rapporteert.

Zolang Vimexx dit niet expliciet bevestigt, blijft het echter een vermoeden.