Onderwerp: PHP CVSS v4.0 9.2 vulnerabilities: stappen - Pagina 7

Is er informatie over de CVSS v4.0 9.2 vulnerabilities in PHP die straks worden bekendgemaakt? Moeten users op shared hosting stappen ondernemen of worden de phpversies gepatched door vimexx?

Graag meer info over welke stappen klanten moeten nemen en welke stappen Vimexx neemt.

@justin: Ik zie trouwens dat die update van CloudLinux om 15:00 uur was, dus 5 uur erbij zou de software 20:00 uur gereed moeten zijn voor distributie.. Scheelt weer iets.. en dan is het te hopen dat ze niet overbelast raken wanneer het gereleased wordt.. blijft nog ff spannend.

—-—

Ja klopt @Bart, laten we het hopen. Tevens zegt Vimexx;

“Wat betreft de webservers staan meerdere systeembeheerders in de aanslag om het volledige platform direct up-to-date te brengen zodra CloudLinux de patch live zet”.

Dus inderdaad hierop wachten. Het is jammer dat Vimexx buiten het “update artikel” geen verdere informatie verstrekt.

ja info is wel erg mager

safari kan de pagina niet openen op de link support... status.vimexx.nl das wel triest...

Ronduit teleurstellend weer dat er enkel en alleen gewerkt wordt met een banner en een statusupdate die 4 uur lang al hetzelfde is. Transip communiceert tenminste met informatie waar je wat aan hebt:

We zijn bezig met het patchen van onze webhostingservers vanwege recent ontdekte kwetsbaarheden in PHP. PHP 8.2 en hoger zijn inmiddels gepatcht. Versies 7.4, 8.0 en 8.1 volgen zo snel mogelijk. Klanten met een self-managed VPS zijn per mail geïnformeerd.

Hoe moeilijk is het om dit even te delen voor al je klanten die ruimschoots voor de diensten betalen?

Erg teleurstellend allemaal, de server waar wij opzitten is vandaag geüpdatet naar PHP: 8.3.35 en naar PHP: 8.4.26 maar helaas zijn dat niet de laatste verzie.

dit is de melding die OpenAI via vimixx gaf...

Het PHP-ontwikkelteam zelf, op php.net. Ik heb de bron zojuist opnieuw geopend.

In hun officiële bericht van 21 oktober 2026, onder ‘PHP 8.4.27 Released!’, staat dat deze versie de twee kritieke kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 repareert. Het nummer 8.4.27 is dus een gepubliceerde release, geen voorspelling van mij. Officiële PHP-aankondiging

Maar daarmee staat niet vast dat Vimexx na het patchen ook precies dat versienummer moet tonen.Hostingproviders kunnen een beveiligingsreparatie in een bestaand pakket verwerken — een backport. PHP verwijst daarvoor ook naar de leverancier van de pakketten. PHP-beveiligingsadvies

Mijn formulering “we moeten 8.4.27 zien” was daarom te stellig. Het juiste criterium is: aantoonbaar gerepareerde PHP op jouw server, door een bijgewerkte versie óf een concrete bevestiging van Vimexx dat beide reparaties zijn toegepast. Alleen de gemeten 8.4.26 bewijst niet dat die reparaties ontbreken, maar ook niet dat ze aanwezig zijn.

MIjndomein klaar, Cloud86 klaar, Vimexx, ik zeg niets. Kwaliteit zwaar achteruit gegaan. Kosten zijn niet meer rendabel tegenover anderen.
Geef ons info!!! Dit duurt te lang!

Indicatie van cloudlinux is dat om 21:00 CET (19:00 UTC) alles beschikbaar zou moeten zijn, eerste versies zijn al gereleased (7.4 versies) https://cloudlinux.statuspage.io/

Dan nog even wachten op de deployment uiteraard. Geen idee welke distro Vimexx gebruikt om mijn server (CentOS?)

De server waar ik op draai lijkt al wel een iets nieuwere PHP gekregen te hebben (nu 8.3.35) maar dat is dus nog niet degene na de patch (=.36)

als ik de PHPinfo mag geloven draait mijn server (0135) idd op een CentOS 7 gebaseerd.

Helaas is er relatief weinig info te vinden. Natuurlijk zullen de updates in diverse stappen gereleased worden en ik gok dat ze, vanuit structuur, kiezen voor langere doorlooptijden en dan gewoon vanuit de standaard repo gaan updaten ipv handmatig (als dat al kan)

Wat meer info zou wel fijn zijn, maar ja, dat is vaak lastig en bij grotere partijen moet het ook nog eens een organisatie door voor goedkeuring...

Overigens speelt dit volgens mij niet alleen bij Vimexx maar bij meerdere hostingboeren die Cloudlinux gebruiken. Degene die de patches al wel hebben draaien meestal een ander OS.

De server waar ik op draai lijkt al wel een iets nieuwere PHP gekregen te hebben (nu 8.3.35) maar dat is dus nog niet degene na de patch (=.36)

als ik de PHPinfo mag geloven draait mijn server (0135) idd op een CentOS 7 gebaseerd.

Helaas is er relatief weinig info te vinden. Natuurlijk zullen de updates in diverse stappen gereleased worden en ik gok dat ze, vanuit structuur, kiezen voor langere doorlooptijden en dan gewoon vanuit de standaard repo gaan updaten ipv handmatig.

Wat meer info zou wel fijn zijn, maar ja, dat is vaak lastig en bij grotere partijen moet het ook nog eens een organisatie door voor goedkeuring...