Onderwerp: PHP CVSS v4.0 9.2 vulnerabilities: stappen - Pagina 15

Is er informatie over de CVSS v4.0 9.2 vulnerabilities in PHP die straks worden bekendgemaakt? Moeten users op shared hosting stappen ondernemen of worden de phpversies gepatched door vimexx?

Graag meer info over welke stappen klanten moeten nemen en welke stappen Vimexx neemt.

@Erol: klopt, in eerdere berichten hier op het forum vermeld, via CloudLinux is aangegeven dat men gebruikmaakt van backporting, en zijn er eerdere versienummers al veilig dan de versienummers die PHP noemt. Je kunt de builddatum nagaan via phpinfo, dat vertelt een hoop. Die moet van gisteren zijn, dan zijn ze veilig.

Voor alle anderen: mocht het niet kloppen: maak een case aan via vimexx.

Het lijkt erop dat bijvoorbeeld bij 8.2 nog 8.2.34 in plugins staat die de php versie kunnen tonen, maar deze wel gepatched is, en om een of andere reden niet minor versie 35 krijgt.
Getest met een test bestandje met phpinfo() erin, en dan is de build date voor 8.2.34: Oct 21 2026 20:03:50
Ik heb ze aangeraden daarover iets te vermelden op de status pagina.
Ik vind trouwens dat Vimexx heel goed en snel heeft gereageerd en geacteerd op deze kwetsbaarheid melding.
Dat er nu weinig tijd is voor reageren op de buitenwereld kan ik me zeer goed voorstellen.

Zoals eerder vermeld: let op de Build Date in phpinfo(). Staat die op 21 oktober 2026, dan werkt je site met de gepatchete versie.

Cloudlinux heeft de patches gebackport. De versienummers zitten daarom lager dan PHP vermeldt op hun website.

"Our packages carry the fix as a backport, so their version numbers stay below PHP’s"

bron: https://blog.cloudlinux.com/php-cve-2026-109618-and-cve-2026-109619

UPDATE: Toelichting op de PHP-beveiligingsupdate

Zie je in DirectAdmin bij ‘Select PHP Version’ nog hetzelfde PHP-versienummer als vóór de update? Dat klopt en is geen probleem.

Voor de PHP-versies die je via deze optie selecteert, levert CloudLinux de beveiligingsfix aan zonder het versienummer te wijzigen. PHP 8.3.35 blijft bijvoorbeeld PHP 8.3.35, maar is wel voorzien van de beveiligingsupdate.

Vimexx heeft hun communicatie up-to-date gebracht middels een banner en meer info in de statuspagina:

UPDATE: Toelichting op de PHP-beveiligingsupdate Zie je in DirectAdmin bij ‘Select PHP Version’ nog hetzelfde PHP-versienummer staan? Geen zorgen, dat betekent niet dat de beveiligingsupdate ontbreekt.

CloudLinux heeft de beveiligingsupdate namelijk verwerkt in de bestaande PHP-versies, zonder het versienummer te veranderen. Zo blijft PHP 8.3.35 gewoon PHP 8.3.35, maar mét de nieuwste beveiligingsfix.

Hoe controleer je of de update is geïnstalleerd?

Dit kun je eenvoudig controleren via phpinfo. Kijk hierbij naar ‘Build Date’. Staat hier 21 oktober 2026 of een latere datum? Dan is de bijgewerkte PHP-versie geïnstalleerd.

Kortom: zie je nog hetzelfde PHP-versienummer? Dan hoef je niets te doen. De beveiligingsupdate kan gewoon geïnstalleerd zijn, ook als het versienummer ongewijzigd is.

Waarom kunnen de techneuten van Vimexx en CloudLinux niet even in de huid kruipen van gewone mensen. Als de hele wereld roept dat de oplossing 8.3.36 heet dan ga je jouw oplossing toch ook zo noemen? Uiteindelijk zijn heel veel klanten van Vimexx ook maar gewone mensen...

8.3.22

Build Date

Jun 6 2025 14:59:41

Vraag mij af hoe het zit..

Beste Vimexx,

Kunnen jullie bevestigen of alle hostingservers inmiddels zijn gepatcht tegen CVE-2026-109618 en CVE-2026-109619?

Er is verwarring over de PHP-versienummers en eventuele backports van CloudLinux. Hoe kunnen klanten controleren of hun actieve PHP-installatie beide beveiligingsupdates bevat?

Kunnen tijdelijk afgeschermde websites weer veilig online, of moeten klanten eerst bevestiging voor hun specifieke server krijgen?

Graag een duidelijke statusupdate en eventuele stappen die klanten zelf nog moeten uitvoeren. Bedankt!

Ik zit op web0120 ook nog met een oudere versie, 8.3.22 en een builddate van Jun 6 2025 14:59:41.

Ik zie inderdaad dat Vimexx de statuspagina heeft bijgewerkt met deze toelichting: https://status.vimexx.nl/incidents/e43c2e88-580b-4abc-93cf-a7224037ea53

Ik vind het wel echt mega irritant dat CloudLinux op deze manier de patch heeft doorgevoerd. Bij de PHP-versie kiezer kan ik namelijk niet zien van welke datum hij is (ook niet welke minor versie). Dat zie je pas als je hem geactiveerd heb en daarna PHP gebruikt. Dus je weet op deze manier pas of je versie gepatched is als je je website terug online gooit. Of via de commandline je php-versie checkt.