Onderwerp: PHP CVSS v4.0 9.2 vulnerabilities: stappen - Pagina 9

Is er informatie over de CVSS v4.0 9.2 vulnerabilities in PHP die straks worden bekendgemaakt? Moeten users op shared hosting stappen ondernemen of worden de phpversies gepatched door vimexx?

Graag meer info over welke stappen klanten moeten nemen en welke stappen Vimexx neemt.

security.nl en digid draaien weer.

Jeetje ik had zelf alles rond 4 uur gepatched, wat een gepruts, zet dan een mirror op als het traag gaat. Ik had meer verwacht van een partij als Vimexx.

Laatste update van Vimexx was om 20:40, in de update van 12:00 (onderaan als update):
Update (20:40): De beveiligingsupdates van CloudLinux komen inmiddels druppelsgewijs binnen. Door de wereldwijde drukte bij de leveranciers gaat dit trager dan verwacht, en nog niet alle patches zijn vrijgegeven. Zodra er een update binnenkomt, gaan we er direct mee aan de slag. We zijn begonnen met het voorzien van de eerste servers van de patch en werken ze één voor één bij. Goed nieuws: CloudLinux heeft laten weten dat er patches komen voor alle PHP-versies van 5.2 tot en met 8.5. Volgens CloudLinux verschijnen die naar verwachting binnen ongeveer 5 uur. Zodra ze beschikbaar zijn, voeren we ze door. Dit duurt helaas langer dan we hadden gehoopt. Onze engineers werken indien nodig de hele nacht door om de updates zo snel mogelijk af te ronden. Wil je je website in de tussentijd extra beschermen? Dan kun je je website tijdelijk afschermen (zie hierboven). Gebruik je een oude PHP-versie? Dan raden we je, los van deze patch, aan om over te stappen naar PHP 8.2 of hoger. We houden jullie op de hoogte!

Dat wordt nachtwerk.

Vimexx raadt aan om het volgende in php.ini te plaatsen:
session.upload_progress.enabled = Off session.use_strict_mode = 1

Graag zou ik willen weten hoe ik dat aanpak, waar dit bestand gevonden kan worden

@Cristiaan Klopt, bij Vimexx wordt er naar mijn idee sowieso veel te weinig geüpdatet en gepatcht. Vaak lijkt er pas actie te worden ondernomen als er veel klachten binnenkomen. Dat werkt nu in hun nadeel, omdat ze daardoor alsnog allerlei tussenupdates moeten doorvoeren om uiteindelijk tot een veilige versie te komen.

Ik baal hier zelf ook flink van, want dit kost ons veel omzet. Ondertussen staan de websites van onze concurrenten gewoon vrolijk online, omdat zij bij hostingproviders zitten die hun zaken blijkbaar wél goed op orde hebben. Dat maakt de situatie extra frustrerend.

Natuurlijk zullen trouwe klanten worden beloond dat er geen prijsverhoging per 1 januari wordt doorgevoerd /s

@Eric

Open in DirectAdmin Bestandsbeheer de map public_html.

Maak een nieuw bestand met de naam .user.ini (met de punt ervoor). Bestaat het al, open het dan.

Zet er deze twee regels in en sla op

@Paul: nouja niet goed voor elkaar is ook wel wat kort door de bocht vind ik.. dit is een aardig uitzonderlijke situatie maar idd, Vimexx is nu niet de snelste.. dat hadden ze zelf ook niet helemaal voorzien blijkt wel uit de updates. Ze hebben het systeem zo opgebouwd dat ze afhankelijkheid hebben van een andere partij. Dat zal vast op de meeste momenten veel voordeel geven maar in dit geval duidelijk niet.

En in een situatie als deze is er ook weer lering uit te trekken dus belangrijker is denk ik wat hun conclusie gaat zijn als men weer in rustiger vaarwater komt..

Natuurlijk zullen trouwe klanten worden beloond dat er geen prijsverhoging per 1 januari wordt doorgevoerd /s

Je bent vrij om naar een ander te gaan he, dat je de moeite voor migratie niet kan opbrengen kan Vimexx ook niet helpen.

Ik zie dat er nu 8.5 is bijgekomen in PHPMyAdmin. Maar hoe zie ik het exacte versienummer, want ik zie nu bijv. alleen 8.3