Onderwerp: PHP CVSS v4.0 9.2 vulnerabilities: stappen - Pagina 2

Is er informatie over de CVSS v4.0 9.2 vulnerabilities in PHP die straks worden bekendgemaakt? Moeten users op shared hosting stappen ondernemen of worden de phpversies gepatched door vimexx?

Graag meer info over welke stappen klanten moeten nemen en welke stappen Vimexx neemt.

Ik heb dit zelf gebruikt om mijn sites tijdelijk af te schermen, misschien handig voor anderen.

Hernoem je .htaccess in public_html naar .htaccess.bak en maak een nieuwe .htaccess met dit erin:

ErrorDocument 403 "<h1>Tijdelijk offline</h1><p>Wegens een beveiligingsprobleem in PHP hebben we deze website voorzorgshalve tijdelijk offline gehaald. Zodra het is verholpen, zijn we weer online.</p>"

Require all denied

Dit geldt voor alle submappen. Heb je .htaccess-bestanden in submappen (bijvoorbeeld WordPress in een submap), hernoem die dan ook naar .htaccess.bak, want daar kunnen eigen regels in staan.

Ik mis wel iets van ondersteuning vanuit Vimexx. Bijvoorbeeld hoe schakel ik in 1 keer PHP uit voor mijn hosting. Of hoe haal ik gemakkelijk mijn website offline.

Het is onwaarschijnlijk dat vimexx hier niet verder over communiceert. Het minste zou zijn dat er ergens duidelijk wordt gemeld hoe PHP kan uitgezet worden, idealiter zouden ze dat voor alle hostingpakketten tegelijk doen en het later terug aanzetten als alles gepatchet is.

De radiostilte is hallucinant.

https://status.vimexx.nl/ geeft wel een update, en ook staat er nu een banner bovenin de algemene Vimexx website. Maar idd, ik sta ook wel open om al mijn websites offline te zetten, wat mij betreft gewoon de apache services uit.. al zit ik op shared hosting dus dat zal niet iedereen leuk vinden ;-) Maar tenminste een knop om je eigen instances van Apache of je eigen instances van PHP uit te schakelen oid.

De site offline halen via DirectAdmin -> suspend werkt bij mij niet voor elke site die ik in beheer heb. Vrij frustrerend als je dan dit in de chat wilt vragen en die met een dooddoener direct gesloten wordt. 

De site offline halen via DirectAdmin -> suspend werkt bij mij niet voor elke site die ik in beheer heb. Vrij frustrerend als je dan dit in de chat wilt vragen en die met een dooddoener direct gesloten wordt. 

Precies, dat was ook mijn idee.. maar dat werkt idd niet.. Ik denk dat de servicedesk van Vimexx wat overvraagd wordt en ze het ook niet weten op het moment.. we zullen moeten wachten tot 16:00 uur.. en ondertussen het beste maar hopen.

"Ik heb dit zelf gebruikt om mijn sites tijdelijk af te schermen, misschien handig voor anderen.

Hernoem je .htaccess in public_html naar .htaccess.bak en maak een nieuwe .htaccess met dit erin:

ErrorDocument 403 "<h1>Tijdelijk offline</h1><p>Wegens een beveiligingsprobleem in PHP hebben we deze website voorzorgshalve tijdelijk offline gehaald. Zodra het is verholpen, zijn we weer online.</p>"

Require all denied

Dit geldt voor alle submappen. Heb je .htaccess-bestanden in submappen (bijvoorbeeld WordPress in een submap), hernoem die dan ook naar .htaccess.bak, want daar kunnen eigen regels in staan."

Heb het nu zelf ook op deze manier gedaan. Achteraf dan de .bak terugzetten/de gewone htaccess laten overschrijven en alles zou weer moeten werken. Gelukkig doen mijn klanten wel niet moeilijk erover.

Werkt het wellicht ook om de public_html folder tijdelijk naar "old_public_html" te hernoemen en een lege public_html aan te maken?

php heeft de updates gereleased zie ik.. nu wachten tot vimexx ze applied.

PHP heeft de updates gereleased zie ik.. nu wachten tot vimexx ze applied.

Tip: bij 'select PHP version' in je DirectAdmin settings kun je je PHP versie veranderen, check wel eerst of je website(s) compatible zijn met die nieuwe PHP versie. Maak vervolgens een php file aan met <?php phpinfo(); ?> dan kun je in de gaten houden of je server gepatched is.

PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 zijn de gepatchte en dus veilige versies.