Voorzorgsmaatregelen door kwetsbaarheden in PHP

Er zijn twee kritieke beveiligingskwetsbaarheden bekendgemaakt in PHP: CVE-2026-109618 en CVE-2026-109619. Beide kwetsbaarheden hebben een CVSS-score van 9.2 en kunnen mogelijk leiden tot Remote Code Execution (RCE) zonder authenticatie.

Volgens de momenteel beschikbare informatie kunnen PHP-versies vanaf PHP 5 en hoger getroffen zijn. De precieze reikwijdte van de kwetsbaarheden wordt op dit moment nog onderzocht.

De PHP-ontwikkelaars hebben voor vandaag, 21 oktober 2026 om einde middag (16:00) Nederlandse tijd, beveiligingsupdates aangekondigd waarmee de kwetsbaarheden worden verholpen.

Door het grote aantal vragen en de media aandacht zijn we veel aan het bellen, het kan langer duren voordat je antwoord krijgt dan je van ons gewend bent. Stuur liever geen extra tickets of bel ons alleen als het urgent is.

We houden alle systemen nauwlettend in de gaten en we zullen opvolging geven aan incidenten. Hieronder per dienstengroep de status:

Webhosting

Onze webhostingspartner heeft preventieve maatregelen genomen en monitort de door ons beheerde hostingomgevingen samen met ons actief. Zodra de beveiligingsupdates beschikbaar zijn, zullen deze zo spoedig mogelijk testen en waar mogelijk installeren.

Voor klanten zelf is op dit moment geen actie noodzakelijk. Websites en overige dienstverlening blijven vooralsnog normaal beschikbaar. Websites waar nog verouderde versies van PHP draaien zullen we uit voorzorg updaten.

We blijven de ontwikkelingen volgen en zullen deze statusmelding bijwerken wanneer er nieuwe informatie of beveiligingsupdates beschikbaar zijn.

Ter achtergrond, onze servers zijn sinds vanochtend door onze webhostingpartner op drie manieren beschermd:

• WAF-regels, actief sinds vanochtend 8:30.
• De upload-voortgangsfunctie van PHP is uitgeschakeld. Via deze functie loopt een van de bekende aanvalsroutes.
• Een nieuwe set beveiligingsregels van Imunify360. Deze regels blokkeren de aanvalsmethode die nu in omloop is en worden automatisch op al onze shared-, reseller-, VPS-servers toegepast.

Als je toch graag wil dat we je site uit voorzorg volledig uit de lucht halen, stuur ons een ticket via support@xsbyte.com met in de titel: Website offline halen, met in de berichttekst uitsluitend dat je dit graag uitgevoerd wil hebben.

Telefooncentrales

De webinterfaces van de telefooncentrales zijn uit voorzorg uitgeschakeld, tot de omgevingen gepatcht zijn.

We merken ook dat er verschillende telefonieproviders zijn met telefonie-problemen die mogelijk met deze kwetsbaarheid (of maatregelen daaromheen) verband houden. Onze telefoniediensten draaien ongestoord door.

We verwachten dat we morgen in de loop van de ochtend de webinterfaces van de telefooncentrales weer beschikbaar kunnen stellen.

Diverse andere diensten

Diverse diensten hebben momenteel (tot het moment van patchen) beperkte beschikbaarheid of zijn volledig offline. We zijn op de hoogte van onder andere (gedeeltelijke of volledige) uitschakeling van diensten bij Bubble, Axeos, Clearvox, WeFact. We hebben uit voorzorg ook de backend van Verbindr.nl offline gehaald. We zien ook dat er landelijke platforms zoals RTL en Tweede Kamer offline zijn gehaald.

Voor onze diensten geldt dat er geen actie nodig is van de gebruikers, mochten er op individueel niveau problemen zijn, zullen we hierover in contact treden.

Updates

Update 15:41: Zojuist heeft de PHP-organisatie (php.net) de gecorrigeerde broncode van PHP openbaar gemaakt. Nog niet voor alle platforms zijn ook direct updates beschikbaar. Tot zojuist viel de update-code onder embargo. Een beperkt aantal partijen heeft de code vooraf ontvangen en kon alvast nieuwe PHP-versies klaarzetten, vooralsnog weten we niet of onze toeleveranciers hier ook bij zitten, dat is niet bekend gemaakt. Tot de toeleveranciers dit hebben toegepast blijven onze extra beveiligingsmaatregelen actief. We werken deze pagina bij zodra de update op alle servers is geïnstalleerd.

Update 16:25: Onze verbindr-backend, monitoringservice zijn gepatcht en weer beschikbaar. Voor de webhostingomgevingen komen de geüpdate PHP-versies vanavond uitelijk 21:00 beschikbaar. Die worden door onze hostingpartner toegepast zodra ze beschikbaar zijn.

Update 16:55: We blijven de diensten monitoren vanavond, onze hostingpartner zal de PHP-patches vanavond toepassen wanneer beschikbaar. Voor overige vragen zijn we morgenochtend uiteraard om 9:00 bereikbaar. Voor nood kunt u in de tussentijd terecht via support@xsbyte.com.

Update 22/10 9:00: De beveiligingsupdate voor PHP is vannacht op alle webservers geïnstalleerd door onze hostingpartner: shared, reseller en managed VPS. Alle PHP-versies zijn beveiligd tegen de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619. De tijdelijke maatregelen zijn teruggedraaid:

• De PHP-cache (OPcache) staat weer aan. Websites zijn weer net zo snel als voorheen.
• De uploadlimiet van 32 MB is vervallen. Grotere uploads via je website werken weer zoals je gewend bent.
• De upload-voortgangsfunctie van PHP staat weer aan.

Onze telefooncentrales zijn ook gepatcht en weer bereikbaar.

Hiermee sluiten we het incident af.