CRISUSCentrale Registratie van Incidenten, Storingen en Uitgebreid Schouderophalen RSS

Deze crisus is afgesloten. PHP2Shell is gepatcht en de ergste drukte is voorbij. De vervolgbug CVE-2026-115560 krijgt een fix in de volgende gewone release. Hieronder staat alles zoals het was, met alle updates. Naar de actuele stand.

Afgesloten crisus ·

PHP Kwetsbaarheid

Twee kritieke lekken in PHP. De patch is uit: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Niet in paniek raken. Wel updaten. Nu. Het NCSC ziet de eerste geslaagde aanvallen.

15:34Sinds 21 oktober 15:34 (13:34 UTC) is de patch uit. Bijna een halfuur eerder dan gepland. Elke minuut op deze klok is een minuut zonder update. Is de patch er al voor mij?

Crisusniveau bij het afsluiten: 2 van 5

  1. 1 · RustigIemand leest de changelog
  2. 2 · OplettenEr is een Signal-groep
  3. 3 · ErnstigGenoeg pizza gehad. Er wordt Thais besteld.
  4. 4 · Zeer ernstigDe manager vraagt of het al werkt
  5. 5 · VrijdagmiddagIemand zegt: “het is maar een kleine wijziging”

Updates

  1. PHP2Shell: Cisco is klaar. Cisco werkte vanmiddag zijn advisory voor de elfde keer bij (versie 1.11): de fix voor Ultra-Reliable Wireless Backhaul en Unified Industrial Wireless Software, versie 26.2.1.9, is er. Daarmee heeft elk geraakt Cisco-product zijn fix: Expressway en Expressway Select (15.5.21), Duo Access Gateway (3.2.0), de Portal Builder van ISE (door Cisco zelf gerepareerd) en nu de industriële wifi. Misbruik tegen zijn eigen producten heeft Cisco nog steeds niet gezien. Op 27 oktober stond die laatste fix nog voor maart 2027, op 28 oktober voor november. Het werd 6 november. Ultra-betrouwbaar. En uiteindelijk ook ultra-op-tijd.

    En nog een 2Shell: Plex2Shell. QNAP vraagt vandaag in een beveiligingsbericht wie Plex Media Server op een QNAP-NAS draait om meteen bij te werken naar 1.43.3.10861 of nieuwer. Plex2Shell is een keten van vier lekken in Plex Media Server 1.43.2 en ouder (CVE-2026-96652, 96654, 96655 en 96656): een SSRF zonder inloggen, toegang tot interne functies via loopback, het admin-token van de eigenaar en een bestand schrijven in de Codecs-map. Samen: op afstand code uitvoeren, zonder in te loggen. Plex schrijft op zijn forum dat de lekken “actively and widely” worden misbruikt sinds een openbare proof-of-concept van 16 oktober: op gekraakte servers staan cryptominers en proxysoftware. Wie een oude Plex vanaf het internet bereikbaar had, moet volgens Plex en QNAP aannemen dat de server gekraakt is. Bijwerken alleen helpt dan niet: opnieuw installeren en de wachtwoorden van Plex en de NAS vervangen. QNAP kreeg al meldingen van gebruikers; QTS en QuTS hero zelf zijn niet geraakt. Security.NL meldt het ook; in september telde Shadowserver zo’n 36.000 kwetsbare Plex-servers, ruim vijftienhonderd in Nederland, schreef Security.NL op 20 oktober. De naam Plex2Shell komt uit de melding van de onderzoeker (zmain.info) van 16 oktober, vijf dagen vóór PHP2Shell. Hij stond nog niet op onze teller: oktober had dus geen vier maar vijf lekken met 2Shell in de naam. Plex2Shell was de eerste. De vaste waarden zijn hieronder aangepast. Poort 32400 dicht, zei de NAS. Niemand hoorde het, want de film liep.

  2. PHP2Shell zit ook in de printer. Xerox bracht op 5 november twee patches uit voor PHP2Shell (CVE-2026-109618 en CVE-2026-109619) in zijn multifunctionals: XRX26-018 voor de AltaLink B8045 tot en met B8090, C8030 tot en met C8070 en de EC8036 en EC8056, en XRX26-017 voor de EC7836, EC7856 en WorkCentre 3655. De ingebouwde webserver van die apparaten draait PHP. Het is een “System Software Patch” die de instellingen van PHP aanpast, geen nieuwe PHP: “These changes do not fully remediate the vulnerabilities”, schrijft Xerox, dus ook het netwerk dichtzetten, en de volledige fix volgt. Wie de webserver (HTTP en HTTPS) helemaal uitzet, kan hem niet meer op afstand aanzetten. In het overkoepelende bulletin XRX26-016 van 23 oktober, bijgewerkt op 3 november, staan de overige AltaLinks, de EC81xx en de VersaLink C415, B415, C625, B625, C620 en B620 op “fix being tested”, verwacht op 6 november. Vandaag dus; in de bulletinlijst staat hij nog niet. De Fiery-printservers krijgen hun patches tussen 9 en 23 november; meer dan 160 andere producten zijn niet geraakt. Triumph-Adler, de Duitse dochter van Kyocera, meldt in een beveiligingsbericht van 3 november dat de printbeheersoftware MyQ en aQrate (10.2 tot en met patch 26, 8.2 tot en met patch 61) en de Printing Systems 15 tot en met 18, 50 en 50A geraakt zijn. Voor MyQ en aQrate 10.2 is er patch 29, voor de rest “further information as soon as the security patches are ready”, en een workaround is er niet: niet rechtstreeks aan het internet. CERT-Bund zette vanochtend Xerox en een openSUSE-update in zijn PHP-advisory, versie 8; Triumph-Adler stond er sinds versie 7. Na Cisco, Palo Alto en de fabriekshal van Siemens nu de kopieerhoek. De printer had altijd al een webserver. Nu weet u ook waarin die geschreven is.

  3. PHP2Shell: QNAP heeft de fix. Op 22 oktober zei QNAP nog: haal uw NAS van het internet, de updates komen. Ze zijn er, en al langer dan hier stond. Volgens advisory QSA-26-18 zijn QTS, QuTS hero en QuTScloud sinds 24 oktober gerepareerd: QTS 6.1.0.3656 en 5.2.11.3661, QuTS hero h6.1.0.3656, h6.0.2.3656 en h5.2.11.3661 en QuTScloud c5.2.9.3661, allemaal build 20261023. Op 28 oktober volgde Notes Station 3 (3.9.15). Ook QVR Surveillance (3.0.3.1756) en TVR OS (1.0.5) staan erin. Vandaag meldt Security.NL het ook: meteen installeren. Misbruik tegen zijn eigen producten is QNAP niet gemeld, staat in de advisory. De NAS mag weer aan. Aan het internet liever nog steeds niet.

  4. PHP2Shell: de Portal Builder is weer heel. Cisco werkte zijn advisory vanavond voor de tiende keer bij (versie 1.10). De Portal Builder van ISE, die “Offline for remediation” was, heeft nu zijn fix: “Fix deployed, no customer action required.” Voor Ultra-Reliable Wireless Backhaul en Unified Industrial Wireless Software is de fix nu versie 26.2.1.9, in november 2026, en niet meer 27.1.1. Webex Events staat erbij als niet geraakt. Misbruik tegen zijn eigen producten heeft Cisco nog steeds niet gezien. Een lager versienummer in dezelfde maand. Terug in de tijd, maar wel vooruit.

  5. Dit was PHP2Shell. Drie dagen, twee kritieke lekken, een vervolgbug en 57 updates. Het begon op dinsdagavond met een aankondiging van PHP en het eindigde met Albert Heijn dat weer bezorgt. Daartussen ging half Nederland uit voorzorg op zwart, kwam de patch een halfuur te vroeg en at het crisusteam te veel pizza.

    Het kan ook rustig. Aid to Ukraine ging woensdagochtend uit voorzorg offline, met een nette onderhoudspagina, en kwam woensdagmiddag netjes terug. Alles deed het weer. Geen drama, geen persbericht. Zo saai kan een crisis zijn.

    Crisusniveau naar 2. Opletten. De Signal-groep blijft nog even, want de vervolgbug CVE-2026-115560 krijgt zijn fix pas in de volgende gewone release. Tot dan blijft session.upload_progress.enabled = 0 staan. Deze pagina blijft zoals hij is. Tot de volgende crisus.

  6. Ook de oude RHEL 7 is kwetsbaar. Red Hat heeft zijn bulletin bijgewerkt. RHEL 7, met PHP 5.4.16, is in de standaardinstelling kwetsbaar voor CVE-2026-109619. Een fix staat er nog niet bij. RHEL 6 is ook getroffen, maar valt “buiten de support”. Daar komt dus niets. Dat ziet u ook in de VEX-data van Red Hat. Op oss-security wees iemand erop. Eerder stond RHEL 7 nog als “niet getroffen” te boek.

    Het andere lek, CVE-2026-109618, zit volgens Red Hat niet in PHP 5.4. Die code kwam pas met PHP 7.3. Daarmee stellen we ons vak “Welke versies?” bij: CVE-2026-109619 gaat terug tot PHP 5.4.0, CVE-2026-109618 tot PHP 7.3.0.

    Draait u nog CentOS 7 of iets anders op PHP 5.4? Dan helpt dezelfde regel als bij de vervolgbug van vanmiddag: session.upload_progress.enabled = 0 in php.ini, niet via ini_set(). Een volledige oplossing is dat niet. Dat is een upgrade. CentOS 7 kreeg sinds juni 2024 geen updates meer. Daar verandert vandaag niets aan.

  7. Daar is de vervolgbug. Een kleintje. PHP meldt een derde lek, CVE-2026-115560, in de voortgang van sessie-uploads, schrijft php.net. Een patch komt pas met de volgende gewone release. Het advies voor iedereen: zet session.upload_progress.enabled = 0 tot die release er is. Wie dat al deed na woensdag, hoeft niets te doen. Die instelling stond al als noodmaatregel in het advisory voor CVE-2026-109619.

    Volgens PHP is de kans klein. Het lek speelt alleen bij een ongebruikelijke combinatie: een applicatie die midden in een verzoek van sessie-opslagformaat wisselt, met de uploadvoortgang nog aan. Daarom geen spoedrelease, maar een gewone. Het volledige advisory volgt bij die release. Wie zijn sessieformaat halverwege omgooit, heeft volgens ons ook andere problemen.

    Ook de politiek schrijft weer. Minister Van Weel van Justitie en Veiligheid stuurde de Kamer een brief, meldt Security.NL. De maatschappelijke impact is “op dit moment niet duidelijk”. Wel vindt de minister het goed dat zoveel organisaties hun sites uit voorzorg offline haalden. Verdere signalen van misbruik vindt de minister “aannemelijk”. Zie ons bericht van 11:00.

  8. Er wordt nog steeds geklopt, maar de deur houdt. Aanvallers proberen met PHP2Shell servers in te lijven bij Potassium, een variant van het Mirai-botnet, meldt The Hacker News op basis van onderzoek van Sophos en Arctic Wolf. Dat lukte niet. Ook Previdian, Wordfence en Hunt.io zien veel pogingen en nog geen enkele geslaagde aanval. Hunt.io zag 123 servers aangevallen worden en geen ervan viel. Het lek blijkt lastiger uit te buiten dan gedacht. Mirai is Japans voor “toekomst”. Voorlopig blijft het daarbij.

    Toch geen reden om te wachten. Censys telt op 23 oktober nog 34,4 miljoen kwetsbare PHP-diensten. Dat is bijna twee keer zoveel als Nederland inwoners heeft.

    En de blauwe busjes rijden weer. Albert Heijn bezorgt sinds vrijdagochtend weer boodschappen, voor het eerst in bijna twee weken, meldt NU.nl. Geen PHP-verhaal: dat was de hack van 11 oktober. Het AH-effect is daarmee officieel voorbij. De stekker mag er weer in. Wel eerst patchen.

    Verder geen nieuwe release, geen nieuwe advisory en PHP2Shell staat nog niet op de KEV-lijst van CISA. De distributies ruimen de laatste hoekjes op. Red Hat patchte vannacht ook php:7.4 voor de oude RHEL 8.6 en 8.8 (RHSA-2026:88532 en 88533). SUSE heeft nu een fix voor SLES 16.0. Alleen 16.1 en 16.2 moeten nog, volgens de CVE-pagina.

  9. Ook buiten Nederland. In het Verenigd Koninkrijk gingen dozijnen overheidsdiensten uit de lucht door PHP2Shell, meldt The Register. Het is dus niet alleen bij ons zo.

    De leveranciers volgen. Cisco heeft een advisory uit en zoekt nog uit welke producten het lek hebben. Fortinet bracht buiten de vaste planning updates uit, meldt heise, maar zegt er weinig bij. Vier woorden, ongeveer: dringend, dringend, nu, updaten.

    En eMudhra stopt met SSL/TLS-certificaten, meldt The Hacker News. De sleutels van acht tussencertificaten bleken “easily guessable”. Hoe makkelijk? Beveiligingsonderzoeker Scott Helme haalde alle acht privésleutels in minder dan een seconde uit de publieke certificaten, schreef The Hacker News eerder deze week. Eén van de sleutels is het getal 4. De andere zeven zijn ook hele getallen onder de 256. Gekozen met een eerlijke dobbelsteenworp, dus. Gegarandeerd willekeurig. Voor een bedrijf dat certificaten verkoopt, is dat ongeveer het ergste wat er in een kop kan staan. Het rijtje is daarmee compleet, met z’n vieren: Node.js, Java, Debian en nu de CA zelf.

  10. De Tweede Kamer is terug. Om 22:27 staat tweedekamer.nl er weer gewoon. Wat het was? Wij hebben gezocht: geen melding van de Kamer, geen nieuwsbericht, niets. Wat we wel weten: twee keer dezelfde foutpagina, “503 Backend fetch failed”, twee keer rond vijf voor heel. Gisternacht om 01:55, vanavond om 21:55.

    Onze theorie, nadrukkelijk zonder bron: de Guru die op die foutpagina staat, mediteert elke avond om vijf voor heel. Een andere theorie, ook zonder bron: een oude Windows-server die om tien uur zijn dagelijkse herstart doet. Dat verklaart vanavond. Gisternacht om twee uur niet. Tenzij hij die nacht ook updates installeerde. Tot de Kamer iets anders zegt, houden wij het op allebei. Zeg het niet tegen de Griffie.

    Terugkijken: deze crisus heeft nu zijn eigen podcastaflevering. Angry Nerds 320 heet gewoon “Crisus.nl”. Bijna twee uur over de cybers, met de maker van deze pagina aan tafel. Over PHP, de eMudhra-certificaten en hoe zo’n statusbord eigenlijk tot stand komt. Spoiler: met koffie.

    Uit de diepere bronnen. Op oss-security delen mensen onofficiële backports van de fix voor PHP 7.3, en zelfs voor 5.4 en 5.3, voor Amazon Linux. PHP 5.3 is uit 2009. Het draait blijkbaar nog ergens. Het krijgt nu dus ook nog een patch. Van een vrijwilliger.

    In php-src kwamen vandaag nog meer geheugenfixes binnen voor 8.4 en 8.5: “JIT: Fix use-after-free in ASSIGN_DIM_OP with CONCAT”, “GC double-frees the SimpleXMLElement properties table” en een lek in de HTTP-wrapper. Een advisory hoort er (nog) niet bij, dus officieel is het geen nieuws. Maar wie de commits leest, ziet de volgende release al aankomen.

    En PHP2Shell staat nog niet op de KEV-lijst van de Amerikaanse CISA, de lijst van lekken die aantoonbaar worden misbruikt. Ook al ziet het NCSC al geslaagde aanvallen. Komt hij erop, dan leest u het hier.

    En dan de stem van het volk. Dennis, de vaste briefschrijver van Retecool, heeft ook een mening: “PHP LEK!!! OF PEEHAAPEE ZOALS DIE DESKUNDIGEN DAT NOEMEN!!!” En: “Hoe kan een taal lekken?? Ik spreek al mijn hele leven Nederlands en daar is nog nooit wat uitgelopen.” Over open source heeft Dennis ook een voorstel: “Linda zegt dat PHP gratis is. GRATIS??? Nou waarom maken ze er dan niet gewoon TWEE???” Ook satire. Collega’s.

    Crisusniveau terug naar 3. Besluit van de crisusmanager. De meeste sites zijn terug, de grote distributies hebben hun pakketten en de manager vraagt niet meer of het al werkt. Wel ziet het NCSC geslaagde aanvallen, dus helemaal rustig is het niet. Niveau 3 dus, maar dit keer zonder pizza. Daar hebben we na twee dagen wel genoeg van gehad. Er wordt Thais besteld.

Oudere updates

  1. De Tweede Kamer is weer even weg. Om 21:55 geeft tweedekamer.nl opnieuw alleen “503 Backend fetch failed”. Net als gisternacht, toen het van 01:55 tot 02:46 duurde. Ook nu geen melding over PHP. Of het onderhoud is of iets anders, zegt de Kamer niet. Wij noteren het. De Kamer had vandaag zelf ook al vragen over sites die offline gaan.

    Verder blijft het rustig. Geen nieuwe release, geen nieuwe advisory.

  2. Crisusniveau 4: de manager vraagt of het al werkt. Het NCSC ziet de eerste geslaagde aanvallen, meldt de NOS. “We zien pogingen om de kwetsbaarheden te misbruiken en we krijgen de eerste signalen binnen dat dat met succes gebeurt.” Eerder zag het NCSC dat nog niet. Wat de signalen precies zijn, zegt het NCSC niet. Het onderzoek kan maanden duren.

    De NOS telde zelf ook. Zeker 113.000 Nederlandse websites draaien aantoonbaar een gepatchte PHP. Ongeveer 145.000 sites draaien nog een oude versie. Die kunnen op een andere manier beschermd zijn, bijvoorbeeld met een backport van hun distributie, maar dat is van buitenaf niet te zien. Hoort uw site bij die 145.000? Dan weet u wat u vanavond doet.

    Hebt u al gepatcht? Kijk dan ook terug: in uw logs, vanaf 17 oktober. Gepatcht is niet hetzelfde als niet binnengeweest.

  3. Vanavond: de cybers, in de Angry Nerds Podcast. De maker van deze pagina schuift aan. Wie wil weten hoe het er achter de schermen aan toeging: de pizza, de koffie, de zo-meter en de spreadsheet. Zonder PHP. Met onderbroek.

    En SUSE is bijna klaar: ook de php7-pakketten van SLES 15 hebben nu de fix, en Tumbleweed heeft 8.5.12. Alleen SLES 16 moet nog. Zie de stand per platform.

  4. PHP is de onderbroek van het internet. Dat zegt NOS-techjournalist Joost Schellevis in De Dag. Iedereen gebruikt hem, hij is belangrijk, maar normaal ziet niemand hem. Deze week zag iedereen hem. Er zat een gat in. Met dank aan AI, die het gat vond.

    Ook mooi uit dezelfde aflevering: Tweakers ging woensdag zelf offline. Juist toen ze over het lek wilden schrijven. Hoofdredacteur Wout Funnekotter vreest dat het niet de laatste keer is. Wij ook. Daarom blijft deze pagina gewoon statisch. Geen PHP. Geen onderbroek. Alleen HTML.

    Verder geen nieuws: geen nieuwe release, geen nieuwe advisory, en alle sites op ons bord staan er nog.

  5. Het is nooit DNS. Het is nog geen DNS. Maar het scheelt weinig. ISC, de makers van BIND, de DNS-server die een groot deel van het internet draait, heeft CVE-2026-94300 gepubliceerd. CVSS 8,1. Wie een eerder ondertekend GSS-TSIG-bericht onderschept en terugspeelt, kan het geheugen van named beschadigen en mogelijk zelf code uitvoeren. GSS-TSIG is de Kerberos-handtekening op DNS-verkeer, die u vooral tegenkomt bij Active Directory. Een noodmaatregel is er niet. Misbruik is nog niet bekend.

    De fix: BIND 9.20.30 of 9.21.27. Kwetsbaar is alles vanaf 9.11.0. De 9.18-reeks staat wel in de lijst, maar krijgt geen fix meer: dat wordt upgraden naar 9.20. Debian heeft hem al, met nog drie andere BIND-lekken: DSA-6576-1. En wie vond het? ISC zelf, en daarnaast Dave Aitel van OpenAI. Ook dit lek kwam dus uit de AI-hoek. Het is een drukke week voor iedereen die software maakt in C.

    En het embargo van de Linux-kernel lekt ook. Per ongeluk, dit keer. Het Zero Day Initiative van Trend Micro stuurde vannacht een reeks kwetsbaarheden naar de openbare kernel-mailinglijst, in plaats van naar de besloten securitylijst, meldt Phoronix. Greg Kroah-Hartman vroeg bij elk bericht beleefd of dat wel de bedoeling was. Twee ervan hebben CVSS 9,0: code uitvoeren op afstand via ksmbd, de SMB-server in de kernel, en via SMB Direct. Een fix in de hoofdtak is er nog niet. Gebruikt u ksmbd? Kijk met lsmod | grep ksmbd of hij geladen is, en of u hem echt nodig hebt. De meeste Linux-fileservers draaien Samba, dat is iets anders.

    En dan iets wat wel gewoon werkt: koffie. Wereldkoffie heeft verse bonen geleverd. Het eerste systeem dat vandaag zonder patch weer volledig draait. Het crisusteam is weer operationeel.

  6. Kijk verder terug. De eerste aanvallen met PHP2Shell waren er al op 17 oktober, meldt Amazon volgens Security.NL. Vier dagen voor de bekendmaking dus, op een honeypot van Amazon, vanaf een anoniem ip-adres. Hoe de aanvaller toen al wist wat er kon, weet Amazon niet. Wel spreekt Amazon nu van misbruik op grote schaal. Het advies: controleer uw PHP-servers op misbruik vanaf 17 oktober. Niet vanaf woensdag.

    Het embargo was dus lek voordat het lek was. Dat is ook een soort record.

    En SUSE is bijna bij. Volgens de CVE-pagina heeft nu ook SLES 15 SP4, SP5 en SP6 (LTSS) een fix, net als de SAP-versies en de module Web and Scripting. SLES 16 en de php7-pakketten zijn nog in de maak.

  7. De overheid is weer helemaal open, meldt de NOS. Ook de sites van het RIVM en NotuBiz zijn terug. “Na grondig testen zijn alle systemen weer up and running,” zegt NotuBiz. Wij hebben het nagekeken: de raadsstukken van Den Haag, Almere en Breda zijn weer in te zien. Alleen op de eigen site van NotuBiz staat nog een storingsmelding. Die is blijkbaar als laatste aan de beurt.

    En het belangrijkste nieuws van vandaag is misschien wel een niet-nieuwsbericht. Er zijn in Nederland nog geen gevallen bekend van gelekte of gestolen gegevens door PHP2Shell, zegt de Autoriteit Persoonsgegevens tegen de NOS. Organisaties moeten een datalek daar melden. Nog geen melding is nog geen garantie. Wel een goed begin.

    Dan de politiek. Kamerlid Kathmann wil van minister Van Weel weten welke overheidssites offline gingen, wat dat burgers kostte en of er een plan ligt voor de volgende keer, meldt Security.NL. Eén van de sites die gisteren offline gingen, was trouwens die van de Tweede Kamer zelf.

  8. Ook de firewall draait PHP. Palo Alto Networks meldt dat PAN-OS kwetsbaar is voor PHP2Shell: de versies 10.2, 11.1, 11.2, 12.1 en 12.2. Updates komen, maar wanneer is nog niet bekend. Het grootste risico loopt wie de beheerinterface van de firewall vanaf internet bereikbaar heeft. Dat moest al niet, en nu echt niet. Cisco en Fortinet zoeken nog uit of hun producten het lek hebben, meldt Security.NL. De muur om uw netwerk heeft dus zelf een gat. Wij zeggen het maar.

    Wat klopte er eigenlijk van alle geruchten? Alexandre Daubois, van het beveiligingsteam van PHP, zet het op een rij. Over hoe erg het is had het internet gelijk. Over de details niet. De score is CVSS 9,2, geen 10,0 (die 9,2 stond hier al). Het lijstje met kwetsbare versies noemde ook PHP 6, een versie die nooit is uitgekomen. En het meest gedeelde advies, session.upload_progress.enabled = Off, hoort bij het andere lek, CVE-2026-109619. Tegen CVE-2026-109618 helpt het niet. Dus nogmaals: de enige echte fix is de update. Die raakt trouwens 390 bestanden. De melding kwam binnen op 27 augustus. Wie zich afvroeg waarom het zo lang duurde: daarom.

    Nog een tip van Daubois voor na de update. memory_limit is nu een zachte grens. Er is een nieuwe harde grens erbij, standaard twee keer zo hoog, en wie daaroverheen gaat, stopt met exit code 137. Ziet u na de update 137 in uw logs? Dan is dat de nieuwe grens die zijn werk doet. Geen aanval. En neemt uw site uploads aan? Beperk dan in de webserver hoeveel delen en headers per deel een upload mag hebben. Zijn les van deze week, voor de volgende keer: geloof de ernst, controleer de noodmaatregel, en vraag welk lek een vlag eigenlijk dichtzet voor u hem omzet.

    En het NCSC heeft nu ook een advisory voor GitLab: NCSC-2026-0447.

  9. Heeft u een QNAP-NAS? Haal hem van het internet. QNAP waarschuwt dat de PHP2Shell-lekken ook in zijn NAS-systemen zitten, meldt Security.NL. QTS en QuTS hero draaien op PHP. Een aanvaller kan er zonder account code op uitvoeren. QNAP noemt het kritiek en werkt aan updates, maar zegt niet wanneer die komen. Tot die tijd: zet port forwarding, UPnP, myQNAPcloud Link en de ingebouwde webserver uit. Moet u er toch van buitenaf bij? Gebruik een vpn. QNAP ziet volgens Security.NL al scans en aanvalspogingen.

    Uw vakantiefoto’s staan er misschien op. Uw back-up ook. Dan liever een dag geen toegang van buitenaf dan een NAS van iemand anders.

    En GitLab: heise zet de cijfers van CVE-2026-110264 nog even op een rij. CVSS 10,0, alle versies vanaf 7.0, en de fix zit ook in de oudere takken tot 18.11.13. Aanvallen zijn nog niet bekend. Dat is het moment om te updaten. Niet daarna.

  10. Een derde bug, en is de patch incompleet? Dat kopt Tweakers vanochtend. De claims dat 8.5.12 nog kwetsbaar is, gaan volgens ma.ttias.be allemaal terug op één onderzoeker: dezelfde die woensdag al over een andere geheugenfout in PHP postte. Die noemt het zelf een “different vuln, been around for a while”. Een gat in de fix van woensdag is het dus niet. Het beveiligingsteam van PHP weet ervan. Om 09:25 is er geen nieuwe advisory, geen nieuwe release en geen vervolg op de fix in php-src. Dus: de patch van woensdag blijft nodig, en tegen PHP2Shell is hij genoeg. Komt er een derde patch, dan staat hij hier.

    Is het eigenlijk wel zo erg? Elias Taylor denkt van niet: “There isn’t an easy exploit for this PHP vulnerability.” Volgens Taylor staan er op GitHub duizenden “PoC’s”, maar werkt geen ervan tegen een gewone PHP-installatie. Veel ervan zetten eerst zelf een lek op de server en bewijzen dan dat de server lek is. Met dank aan de LLM die ze schreef. Ook heise schrijft vanochtend: “Erfolgreiche Exploits sind bislang nicht belegt.” Wel ziet Cloudflare volgens heise miljoenen pogingen, en Amazon spreekt van misbruik op grote schaal. Ook melden securitybedrijven volgens Security.NL aanvalspogingen. Proberen is nog geen binnenkomen. Maar ook Taylor schrijft: “You should patch your servers anyway.” Wij ook.

    En wie heeft er gelekt? De PHP Foundation wijst naar Chainguard. Dat bedrijf zette woensdag om 07:41 UTC, ruim zes uur voor de afgesproken tijd, gepatchte images online. Wie wilde, kon de fix dus al bestuderen. Chainguard-topman Dan Lorenc zegt tegen The Register dat er toen al werd aangevallen: “so we made the call”. Over de patch zelf is Lorenc lovend: “The patches are crazy – this is not a simple vulnerability.” Over de schuldvraag minder: “I woke up this morning and saw that this was all our fault.” Lorenc zelf: Chainguard “didn’t leak”. Een bedrijf voor de beveiliging van de supply chain, beschuldigd van een lek in diezelfde supply chain. Wij verzinnen dit niet.

    Om 05:30 vatte NU.nl het samen: “De meeste websites die woensdag offline gingen vanwege kwetsbaarheden in programmeercode PHP zijn donderdag weer bereikbaar.” “Maar een aantal belangrijke sites staat nog op zwart.” Dat aantal slinkt. Sindsdien zijn overheid.nl, Omroep MAX, Amnesty en Werken bij de Rechtspraak terug. Om 09:46 is ook Meld Misdaad Anoniem terug. Alleen de KNVB staat nog in onderhoudsmodus.

    Correctie. Op ons bord stond Red Hat nog op “Nog geen fix”. Dat klopte al sinds woensdagavond niet meer. Red Hat had toen al pakketten uit voor RHEL 8, 9 en 10, vanaf RHSA-2026:87070. Wij keken naar de verkeerde pagina. Excuus. Het bord is bijgewerkt.

    Ook Java. Oracle heeft woensdag, een dag na de vaste patchdag, een losse Security Alert uitgebracht: CVE-2026-91403, CVSS 9.1, in JSSE, het TLS-deel van Java. Op afstand te misbruiken, zonder in te loggen. De oorzaak kent u al van het statusbord: acht tussencertificaten van eMudhra zijn gecompromitteerd, meldt OpenJDK. Kwetsbaar zijn Oracle Java SE 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 en 27.0.1, en GraalVM. Dat zijn precies de versies van de patchdag van dinsdag. Wie dinsdag braaf heeft gepatcht, mag het nu nog een keer doen.

    Java draait in veel backoffices, ook bij de overheid. Gebruikt uw Java de certificaten van het besturingssysteem? Dat doen de OpenJDK-pakketten van onder meer Debian, Ubuntu, Fedora en Red Hat. Dan is een update van ca-certificates genoeg. Debian heeft die al: DSA-6572-1. Een losse JDK, of Java uit Homebrew of FreeBSD, heeft een eigen lijst. Die moet u zelf bijwerken.

    Niet elke site die deze week uit de lucht ging, komt terug. De politie heeft 30 websites en een aantal servers offline gehaald die harddrugs en vervalste medicijnen verkochten, meldt de politie. Geen PHP-lek dit keer. Gewoon de politie. Drie mannen zijn aangehouden. Pillen die op oxycodon leken, bevatten nitazenen. Drie mensen zijn kort na het innemen overleden.

    Dus, serieus: koop medicijnen alleen via een apotheek. Hebt u iets gekocht via slaappillen.net of regioapp.net? Neem het niet in en bel uw huisarts of apotheek.

  11. De ochtendploeg is binnen. Om 08:46 zijn Omroep MAX, Amnesty en Werken bij de Rechtspraak terug, zonder melding over PHP. Tijd voor MAX. Nu met website. Alle omroepen op ons bord staan daarmee weer in de lucht.

    Nog uit om 08:47: Meld Misdaad Anoniem (“Momenteel zijn we even niet beschikbaar”). De KNVB staat nog in onderhoudsmodus. Over PHP, PwnEscape en GitLab geen nieuws.

  12. Overheid.nl is terug. Om 07:16 staat de homepage er weer: “wegwijzer naar informatie en diensten van alle overheden”. Geen “We zijn zo terug” meer. De zo-meter stopt op 10 uur en 49 minuten, gerekend vanaf 20:27 gisteravond. Nu weten we het eindelijk: bij de overheid duurt “zo” een nacht.

    Nog uit om 07:16: Omroep MAX, Amnesty, Meld Misdaad Anoniem en Werkenbijderechtspraak.nl. De KNVB staat nog in onderhoudsmodus.

  13. Goedemorgen. Overheid.nl is er nog altijd niet. Een woordvoerder van Binnenlandse Zaken weet volgens de Wekdienst van de NOS nog niet wanneer de site terugkomt. Meld Misdaad Anoniem is ook nog uit. Wie de zo-meter vannacht heeft gevolgd: die tikt nu door de tien uur heen. Zo.

    Verder is het een rustige nacht geweest. Geen nieuwe PHP-release, geen nieuwe advisory en geen nieuws over PwnEscape of GitLab. Nog uit om 06:55: overheid.nl, Omroep MAX, Amnesty, Meld Misdaad Anoniem en Werkenbijderechtspraak.nl. De KNVB staat nog in onderhoudsmodus. Koffie?

  14. De Tweede Kamer is terug. Om 02:46 staat tweedekamer.nl er weer gewoon, zonder foutmelding. De Guru heeft uitgemediteerd. Wat het was, zegt de Kamer niet. Wij houden het op een dutje.

    Verder blijft het stil. Geen nieuwe PHP-release, geen nieuwe advisory en geen nieuws over PwnEscape of GitLab. Nog uit om 02:46: overheid.nl (“We zijn zo terug”), Omroep MAX, Amnesty, Meld Misdaad Anoniem en Werkenbijderechtspraak.nl. De KNVB staat nog in onderhoudsmodus.

  15. BNNVARA is terug, en daarmee Kassa en Joop. Om 01:45 staat de site er weer gewoon, zonder melding over PHP. Klagen over een website die het niet doet kan dus weer bij Kassa. Al stond Kassa deze keer zelf in de rij.

    Nog uit om 01:45: overheid.nl (nog altijd “We zijn zo terug”), Omroep MAX, Amnesty, Meld Misdaad Anoniem en Werkenbijderechtspraak.nl. De KNVB staat nog in onderhoudsmodus. Verder geen nieuws: geen nieuwe PHP-release en geen nieuwe advisory. Het is twee uur ’s nachts. Ook de crisus moet een keer slapen. Wij nog niet.

    Om 01:55 ligt tweedekamer.nl er weer uit. Geen PHP-melding dit keer, alleen een kale foutpagina: “503 Backend fetch failed”, met eronder “Guru Meditation”. Zo heet een foutmelding van Varnish, naar de Amiga. Of het met PHP te maken heeft, zegt de Kamer niet. Het kan ook gewoon nachtelijk onderhoud zijn. Om twee uur ’s nachts vergadert de Kamer zelden. Wij kijken om 03:00 weer.

  16. Nog niet iedereen is terug, meldt de NOS. Meld Misdaad Anoniem is om 00:45 nog uit: “Momenteel zijn we even niet beschikbaar.” Anoniem een misdaad melden kan dus even niet. Wij melden het dan maar. Niet anoniem.

    De sites van 113 Zelfmoordpreventie en Centrum Seksueel Geweld waren tot laat offline. Om 00:45 zijn ze allebei terug. Zit je ergens mee? Bel 113 of 0800-0113, dag en nacht.

    Bij NotuBiz zijn de officiële stukken van ruim honderd gemeenten, provincies en waterschappen niet in te zien, onder meer van Den Haag, Almere, Breda, Haarlem, Den Bosch en Delft. Wie vannacht nog een raadsbesluit wilde nalezen: morgenochtend weer, zegt NotuBiz. En internationaal liggen de overheidssites van België en Frankrijk volgens de NOS nog deels plat.

  17. ANWB.nl is terug. “ANWB helpt Nederland op weg. En niet alleen bij pech.” Vandaag dus ook bij een PHP-lek. De Wegenwacht staat niet meer langs de kant van de weg: motorkap dicht, rijden maar.

    Nog uit om 23:35: overheid.nl (nog altijd “We zijn zo terug”), BNNVARA, Omroep MAX, Amnesty en Werkenbijderechtspraak.nl. De KNVB staat nog in onderhoudsmodus. Middernacht. Een nieuwe dag. Dezelfde crisus.

  18. Er wordt geklopt. Volgens Security.NL zien meerdere beveiligingsbedrijven de eerste aanvalspogingen op PHP2Shell. Cloudflare ziet aanvalsverkeer tegen klanten, Hadrian spreekt van grootschalig misbruik, Patchstack en watchTowr melden actieve pogingen. Of het lukt, is onduidelijk. Bij minstens één bedrijf kwamen de aanvallers niet verder dan aankloppen. Het crisusniveau gaat terug naar 3: er is weer pizza besteld. Wie vanmiddag heeft gepatcht, kan rustig slapen. Wie niet: dit is het moment.

    Security.NL meldt ook dat Overheid.nl weer online is. Wij keken om 22:15 en nog eens om 22:50. Daar stond: “We zijn zo terug. Op dit moment vindt er onderhoud plaats.” Het nieuws loopt dus voor op de overheid. Dat is ook een soort snelheid.

    Verder: het NCSC heeft een eigen advisory uit, NCSC-2026-0443. En bij Albert Heijn kan een beperkte groep vaste klanten weer bestellen, meldt de NOS. De rest moet nog even met een mandje. En KWF is terug online. Nog uit om 22:50: ANWB.nl, BNNVARA, Omroep MAX, Amnesty en Werkenbijderechtspraak.nl. De KNVB staat nog in onderhoudsmodus.

    Liever kijken dan lezen? Ex-Buro Renkema-onderzoeker Arjen legt het in een paar minuten uit: “Internet stuk door lek in PHP”. Duidelijker dan de meeste advisories, en met betere grappen dan de onze. Bijna.

  19. De NOS sluit zijn liveblog. Wij nog niet. Terug sinds 21:00: de Tweede Kamer, KRO-NCRV en Het Klokhuis. Boer zoekt vrouw is er ook weer: de boer kan weer zoeken. En FC Groningen is terug, dus het staat 1-1 tegen Twente.

    Nog uit om 21:45: overheid.nl, ANWB.nl, BNNVARA, Omroep MAX, KWF, Amnesty en Werkenbijderechtspraak.nl. De KNVB staat nog in onderhoudsmodus.

    Even nagerekend: de bug is ouder dan crisus.nl. Het oudste kwetsbare pad zit volgens de vinders al in PHP 5.4.0, uit maart 2012. Dit domein is pas sinds 2019 van ons. Wij waren er dus niet bij toen het misging. Wel toen het uitkwam.

  20. Het AH-effect. Waarom ging vandaag half Nederland uit voorzorg op zwart? Wij hebben een theorie. Die ligt in het schap.

    Op zondag 11 oktober haalde Ahold Delhaize na verdachte activiteit zijn systemen offline. De website, de app en de thuisbezorging van Albert Heijn lagen eruit. In de winkels raakten groente, fruit en zuivel op. Retailexperts schatten de gemiste omzet op 120 tot 150 miljoen euro, meldt IamExpat. Online bestellen kan nog steeds niet, de bezorging moet vrijdag weer beginnen. Topman Frans Muller blijft erbij, aldus Transport Online: “Het onderzoek tot nu toe bevestigt dat dit de juiste beslissing was.”

    Tien dagen later lekt een kritiek PHP-lek uit. En geen IT-manager in Nederland wil verantwoordelijk zijn voor de volgende lege schappen. Dus: stekker eruit, nog vóór de patch er is. Wij noemen dat het AH-effect. Bewijs hebben we niet, dit is een satiresite. Ahold zelf ziet geen verband tussen zijn hack en het PHP-lek. Maar de bonuskaart van de voorzichtigheid is vandaag flink gebruikt.

  21. Er komen er weer een paar bij. DigiD.nl en het NCSC zijn terug, en FC Twente ook. FC Groningen nog niet. Daarmee is het gelijkspel van vanmiddag voorbij: 1-0 voor Twente. De KNVB staat nog in onderhoudsmodus. De scheidsrechter kijkt de beelden nog terug.

    Overheid.nl is volgens de NOS nog steeds offline. Een woordvoerder van Binnenlandse Zaken kan niet zeggen hoe lang dat duurt. Nog uit om 20:45: ANWB.nl, BNNVARA, Omroep MAX, KRO-NCRV, de Tweede Kamer, KWF en Amnesty.

    Pathé Thuis is ook terug, meldt een lezer. Dank! De film van vanavond kan alsnog. Homebrew heeft nu ook PHP 8.5.12. Daarmee heeft elk groot platform uit ons lijstje de fix, behalve Red Hat. En voor PwnEscape heeft Debian een advisory uit: DSA-6568-1.

    Nog even rondgekeken bij de vaste waarden. Boer zoekt vrouw ligt eruit: “Omdat we een dringende beveiligingsupdate uitvoeren.” Boer zoekt vrouw, vrouw zoekt website. Ook De Slimste Mens van KRO-NCRV is even niet zo slim. De Rechtspraak haalde Werkenbijderechtspraak.nl en MijnSSR offline. Rechtspraak.nl zelf draait geen PHP en bleef gewoon in de lucht. Net als wij. En GeenStijl heeft intussen een eigen PHP-liveblog. Concurrentie.

    En omdat het vandaag toch al woensdag is: ook GitLab heeft een kritieke patch uit. CVE-2026-110264, CVSS 10,0: een gemaakte reguliere expressie laat iemand zonder account code uitvoeren op uw GitLab-server. Alle versies vanaf 7.0. Fix in 19.5.1, 19.4.3, 19.3.6 en terug tot 18.11.13. GitLab.com is al gepatcht. Draait u zelf GitLab: vanavond nog updaten. Een tien is het maximum. Dat hadden we vanmiddag al uitgelegd.

  22. Het Achtuurjournaal. Met een paar minuten vertraging, zoals het hoort. Goedenavond.

    • Intussen bij de buren: PwnEscape. Een lek in de netwerkcode van de Linux-kernel laat een virtuele machine uitbreken naar de KVM-host eronder, meldt heise. Een kwaadwillende klant van een cloudprovider kan zo de host overnemen, en daarmee de VM’s van alle andere klanten. CVE-2026-99999, CVSS 9,3. Het laatste vijfcijferige CVE-nummer van 2026. Ze hebben het mooiste nummer voor het engste lek bewaard.
    • Gevonden door pwn.ai, met AI, in drie dagen, voor minder dan 700 dollar aan tokens. De fix zit sinds 8 oktober in de kernel. Debian heeft hem: 6.12.113-1 voor Debian 13 en 6.1.190-1 voor Debian 12, zie de tracker. Netcup herstart zijn hosts al sinds het weekend.
    • Wat moet u doen? Beheert u zelf een KVM-host: nieuwe kernel erop en herstarten. Huurt u een VPS: niets, dat doet uw provider. Wel even checken of uw VPS na een herstart vanzelf weer opstart. Daar komt u anders om drie uur ’s nachts achter.
    • Binnenland: PHP. De patch is al vier uur uit. Debian, Ubuntu, Docker en SUSE zijn bij. Terug: RTL, Tweakers, MijnOverheid, NPO.nl en de Unie van Waterschappen. Nog uit: ANWB, BNNVARA, Omroep MAX, KRO-NCRV, DigiD.nl, het NCSC, de Tweede Kamer, de KNVB, KWF en Amnesty.
    • Sport. FC Twente en FC Groningen spelen nog altijd zonder website. Het staat gelijk.
    • Het weer. Buiig, met kans op patches. Morgen opklarend, behalve voor wie vanavond niet herstart.

  23. Nu iedereen weer een beetje rust heeft, begint het belangrijkste deel van elke crisis: wie krijgt de eer. OpenAI zegt volgens de NOS “de afgelopen twee maanden een coalitie van beheerders, onderzoekers en beveiligingsproviders” te hebben geleid. Wiz noemt de vondsten “de ernstigste kwetsbaarheden die ooit in PHP zijn ontdekt, en wellicht zelfs in de geschiedenis van software”. Wij noemen onszelf bescheiden de beste crisussite van Nederland. Er is er maar één.

    Wie is er terug? NPO.nl, zonder melding. Nog uit om 19:45: ANWB.nl, BNNVARA, Omroep MAX, KRO-NCRV, een paar onderdelen van Het Klokhuis, FC Twente en FC Groningen. Ook DigiD.nl, het NCSC, de Tweede Kamer, de KNVB, KWF en Amnesty. Het eerste uur na een patch is makkelijk. Het tweede uur is testen.

  24. De tijdlijn wordt duidelijk. Het eerste lek is al op 11 augustus gevonden, het tweede op 24 augustus, meldt de NOS op basis van de PHP Foundation. Calif vond het eerste met OpenAI. Wiz, eigendom van Google, vond los daarvan het tweede. Allebei met AI. Tussen melding en patch zitten dus ruim twee maanden. Zo lang staat bij ons gemiddeld een pak melk in de deur van de koelkast. Ook niet goed.

    De Foundation is eerlijk over de reden: het beveiligingsteam bedacht meerdere oplossingen, die elk iets anders braken. Het team besliste op consensus en kwam er niet uit. Het OOM-probleem was zelfs al in 2024 gezien, tijdens een audit, maar zonder bewijs dat het uit te buiten was. “We won’t pretend otherwise: the delay was a structural failure.”

    En de onderzoeker met de nieuwe, nog geheime bug van 17:15 antwoordt op de vraag naar maatregelen: “don’t worry about it kitten”. Wij lezen dat als: geen paniek. Wij blijven wel opletten. Dat is ons vak.

  25. Docker is bij. Rond 18:45 zijn ook de zwevende tags verzet: php:8.4-apache is nu hetzelfde image als php:8.4.27-apache, en php:latest hetzelfde als php:8.5.12. Wij hebben de digests vergeleken. Een container die al draait, blijft wel oud tot u hem opnieuw aanmaakt.

    De PHP Foundation vertelt ook hoe de processen veranderen, aldus de NOS: het beveiligingsteam mag voortaan besluiten met een meerderheid van stemmen. Tot nu toe moest iedereen het eens zijn. Wie ooit een vereniging heeft gerund, weet hoe lang dat duurt. MijnOverheid is volgens de NOS ook officieel terug.

  26. Zelfreflectie bij PHP. De PHP Foundation spreekt volgens de NOS van een “structurele fout”: de oplossing liet lang op zich wachten. Het beveiligingsteam werd het niet eens over de juiste fix en er zijn weinig ontwikkelaars met de benodigde kennis. De processen gaan op de schop. Een team dat het niet eens wordt over de oplossing: dat kennen wij. Wij noemen het een Signal-groep.

    Wiz zegt dat de lekken al ruim tien jaar in PHP zaten. Ze vonden ze met AI: “de ernstigste kwetsbaarheden die ooit door AI zijn ontdekt”. Eén onderzoeker deed in een week wat een topteam vroeger maanden kostte. Volgens Wiz werkt dat twee kanten op: criminelen kunnen het ook. Tien jaar, trouwens. Ongeveer zo lang als die ene WordPress-plugin niet is bijgewerkt.

    En Debian 12 is bij: php8.2 8.2.35-1~deb12u1 staat op de mirror.

  27. MijnOverheid is terug. Uw Berichtenbox ook, dus die blauwe envelop van de Belastingdienst is weer bereikbaar. Niet iedereen zal dit als goed nieuws ervaren. DigiD.nl, het NCSC, de Tweede Kamer, de KNVB, KWF en Amnesty zijn om 18:05 nog uit.

  28. Een rondje langs Nederlandse vaste waarden. Om 17:55 zelf gecontroleerd, met wat er op hun eigen pagina staat:

    • ANWB.nl: “preventief offline gehaald in verband met een PHP-beveiligingsupdate”. De Wegenwacht staat zelf langs de kant van de weg. Motorkap open.
    • BNNVARA, en daarmee Kassa: “Er is een kritieke kwetsbaarheid ontdekt in PHP.” Klagen over een website die het niet doet? Daarvoor gaat u normaal naar Kassa.
    • Omroep MAX: “Er is een beveiligingsprobleem bekendgemaakt in de software waarop deze website draait.” Tijd voor MAX. Zonder website.
    • KRO-NCRV: “Omdat we een dringende beveiligingsupdate uitvoeren.” En NPO.nl blijft dicht “totdat we zeker weten dat alles veilig is”.
    • Het Klokhuis: een paar onderdelen offline vanwege “een veiligheidsprobleem met de techniek”. Wij kijken uit naar de aflevering waarin ze uitleggen hoe dat zit.
    • In het voetbal liggen onder meer FC Twente, FC Groningen, Fortuna Sittard, Willem II, De Graafschap, FC Dordrecht, Heracles en VVV-Venlo eruit, meldt VI. FC Twente: “vanwege een wereldwijd beveiligingslek bij websites die gebruikmaken van de programmeertaal PHP”. Voor het eerst dit seizoen staan ze allemaal gelijk.

  29. Docker heeft de gepatchte images. Een beetje. De versietags staan er sinds 17:40: 8.5.12-apache, 8.4.27-fpm-alpine en de rest. Maar php:8.4-apache, php:8.5-fpm en php:latest wijzen nog naar het image van vanochtend. Wie nu docker pull php:8.4-apache doet, haalt keurig het lek binnen. Pin de versie. Dat is ook op een gewone dag een goed idee.

    SUSE heeft een CVE-pagina, met de fix voor SLES 15 SP7: php8 >= 8.3.36-150700.3.24.1. Red Hat heeft een pagina, nog zonder pakketten. Debian 12 staat nog niet op de mirror.

  30. Correctie. Om 17:15 schreven we dat de nieuwe PHP-bug een kwaadaardig PHP-script nodig heeft. Dat was te snel. Gevraagd hoe hij werkt, antwoordt de onderzoeker in de draad: “malicious data into benign code”. Kwaadaardige data in gewone code dus. Dat kan dus mogelijk ook van buitenaf. Hoe precies, blijft geheim tot er een fix is. Wij houden php.net in de gaten.

    Verder roepen overheden wereldwijd op om te updaten, meldt de NOS. Onder meer de Amerikaanse NSA en de Japanse premier Takaichi. Als de NSA en de premier van Japan hetzelfde zeggen, is het heel ernstig of een deepfake. Het is het eerste.

    Debian 12: de pakketpagina noemt 8.2.35-1~deb12u1 in bookworm-security, met beide CVE’s opgelost. De mirror heeft hem nog niet.

  31. Het crisusniveau gaat naar 2. De patch is er, de grote distributies hebben pakketten en de eerste sites zijn terug. De pizza is op. Er wordt niet meer besteld. Wel blijven we opletten: de nieuwe, nog geheime PHP-bug van 17:15 is nog niet opgelost.

  32. Debian 12 komt eraan. De security tracker noemt php8.2 8.2.35-1~deb12u1 gefixt. Op de mirror staat het nog niet. Dat kennen we nog van Ubuntu vanmiddag. Geduld is ook een beveiligingsmaatregel. Een matige, maar toch.

  33. “Today is really a day for PHP.” Een beveiligingsonderzoeker meldt op de fediverse een andere geheugenfout in PHP: een double free. Volgens de onderzoeker werkt hij op 8.4.25, 8.5.10 en ook op de gepatchte 8.5.12. De bug is om 16:51 bij PHP gemeld. Een PoC van drie regels, de details blijven geheim tot er een fix is.

    Wat we weten: niet veel. Het is één bron, nog geen CVE en nog geen advisory. De PoC is een PHP-script: wie dat kan draaien, draait al code op uw server. Gecorrigeerd om 17:35: volgens de onderzoeker werkt het met kwaadaardige data in gewone code. Advies: patch gewoon naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35. Die dichten de twee bekende lekken. Houd daarna php.net in de gaten. Wij doen dat ook. Met koffie.

  34. De eerste grote sites komen terug. RTL en Tweakers zijn weer in de lucht, meldt de NOS. In onze steekproef van 17:05 is ook de Unie van Waterschappen terug. Het water staat weer onder controle. Nog uit: DigiD.nl, MijnOverheid, het NCSC, de Tweede Kamer, de KNVB, KWF en Amnesty.

  35. Goed nieuws voor wie nog op een oude PHP zit. Op GitHub staan branches voor PHP 7.4, 8.0 en 8.1 met een “minimal mitigation for EOL version”. Ze zijn op 18 oktober gemaakt door Arnaud Le Blanc en Ilija Tovilo van het PHP-team. Het is geen release. U moet zelf bouwen. Maar het is meer dan niets. En niets was wat we eerder beloofden.

    Dacht u: wij draaien Node.js, wij zijn veilig? Ook Node.js heeft vandaag security releases: v26.12.1, v24.22.1 en v22.23.4. Acht lekken met de ernst high, waaronder een Brotli-decoder die met een out-of-bounds write code laat uitvoeren (CVE-2026-111497). Ook de eMudhra-CA wordt eruit gegooid. Het is een drukke woensdag voor iedereen. Behalve voor statische HTML.

    En Ubuntu is bij: de pakketten staan nu ook op de mirror, voor 26.04, 26.10 en 24.04. Debian heeft zijn DSA uit voor Debian 13. Debian 12 wacht nog. Zie de stand per platform.

  36. Het kabinet reageert. Minister Van Weel van Justitie en Veiligheid zegt dat het offline halen van al die websites “impact heeft in onze digitale samenleving”. Ook de minister ziet nog geen actief misbruik. Wij kunnen de impact bevestigen: om 16:35 zijn RTL, DigiD.nl, MijnOverheid, het NCSC, de Tweede Kamer, de KNVB, KWF, Amnesty en de Unie van Waterschappen nog uit.

    Verder weinig nieuws. De Ubuntu-mirror staat nog stil. Docker en Homebrew hebben nog niets. Red Hat, SUSE en de Debian-tracker hebben nog geen pagina. Het crisusteam heeft de pizza op en overweegt een tweede. Dat is crisusniveau 3,5. Daar hebben we geen vakje voor.

  37. Een uur na de patch. Onze steekproef van 16:25: Vlaanderen.be en Tweakers zijn terug. RTL, DigiD.nl, MijnOverheid, het NCSC, de Tweede Kamer, de KNVB, KWF en Amnesty zijn nog uit. Patchen kost tijd. Testen nog meer. Weer aanzetten zonder testen kost het meest.

    Gebruikt u Ubuntu? Ubuntu heeft de fix om 15:41 gepubliceerd, maar de security-mirror is sinds 11:44 niet bijgewerkt. apt update ziet het pakket dus nog niet. Laat PHP zolang uit. Of haal het pakket met de hand van Launchpad, als u weet wat u doet. Dat weet u. U leest deze site.

  38. De vinders, Calif, OpenAI en Wiz, publiceren hun write-up. Met een strip erbij. De trucs zijn verbluffend simpel: een verzoek zonder lengte en een berg lege uploads met geneste namen. Bevestigd op WordPress, Drupal, Joomla, Nextcloud, phpMyAdmin en nog zes andere.

    Pijnlijk detail: het geheugentekort werd in 2020 al gemeld en in 2024 opnieuw gevonden. Het bleef liggen, want uitbuiting was “niet bewezen”. Dat is het nu wel. Er staan in de wereld vast nog meer bugs te wachten op hun bewijs. Wij gaan er niet over nadenken. Wij gaan slapen. Straks.

  39. De patch is er. Nu de rest van de wereld nog. Debian heeft zijn pakket al, Ubuntu heeft het zijne gepubliceerd. De mirrors moeten bijkomen. Windows-builds staan klaar. Docker en Homebrew zijn nog bezig. Zie de stand per platform.

    Intussen gaan ook de overheden van Frankrijk en Finland deels op zwart. Ook goede doelen gaan offline: KWF, de Hartstichting, Oxfam Novib, Amnesty. Het UWV haalt een tool offline om je beter te melden. Wie vandaag beter wordt, moet dat morgen melden. NPO Start publiceert later en Pathé Thuis verhuurt geen films. Een goede middag voor een boek. Van papier.

  40. Het crisusniveau gaat terug naar 3. De pizza is er. Debian 13 heeft al een pakket: 8.4.27-1~deb13u1. Ubuntu staat nog op Needs evaluation. Wie Apache met mod_php draait: dat is precies de opzet waartegen de aanval bewezen is. Patchen, of PHP uit laten.

  41. De patch is uit. Bijna een halfuur eerder dan gepland. PHP publiceert 8.5.12, 8.4.27, 8.3.36 en 8.2.35 met twee advisories: RCE via OOM corruption en RCE via stale global state. De buildbots van alle distributies gaan tegelijk aan. Ergens in een datacenter wordt het warm.

  42. Het crisusniveau gaat naar 4. Uit voorzorg offline: de sites van DigiD en MijnOverheid, RTL, de KNVB, de Unie van Waterschappen, een rij ziekenhuizen en de vluchtinformatie in de Schiphol-app. In België gaan alle Vlaamse overheidssites op zwart, net als Smartschool. Crisus.nl is nog online. Het is de eerste keer dat wij betrouwbaarder zijn dan de overheid. We genieten ervan zolang het duurt.

  43. Het NCSC noemt het lek “geen aanval, maar een weeffout in de software”. Ze roepen iedereen op de update direct te installeren: “elke minuut telt”. Wij noemen de weeffout voortaan PHP.

  44. Cloudflare ziet al aanvallen en zet firewallregels aan voor al zijn klanten. Het NCSC en de PHP Foundation zien nog geen misbruik. Eén van de drie heeft het mis. Wij gaan uit van het ergste. Dat is ons vak.

  45. De status is ongewijzigd. Er wordt gewacht op de patch. Het crisusteam staat paraat met apt upgrade al half getypt.

    Het NCSC heeft zijn eigen website uit voorzorg offline gehaald. Wij hebben uit solidariteit overwogen hetzelfde te doen, maar crisus.nl draait geen PHP. Dus nee.

  46. Het NCSC waarschuwt: bereid u voor op patchen. Er is een openbare proof of concept, maar nog geen actief misbruik. Alle versies vanaf PHP 5 zijn kwetsbaar. Zie de advisory.

  47. Meerdere diensten zijn nog preventief offline. Het netwerk werkt wel. De koffieautomaat draait geen PHP en is dus beschikbaar. Uit voorzorg is hij toch alvast leeggedronken.

  48. Het crisusteam heeft overlegd over de agenda van het volgende crisusoverleg. Er komt een werkgroep. De werkgroep heeft een Signal-groep. De Signal-groep heeft 214 ongelezen berichten, waarvan 190 stickers.

  49. Uit voorzorg staat PHP uit. Alles wat geen PHP is, werkt gewoon. Dat blijkt verrassend veel te zijn. Er komt een onderzoek naar de vraag waarom we eigenlijk nog PHP hebben.

  50. Details over de lekken liggen al op straat, de CVE-nummers ook. Dat was niet de bedoeling. Het is wel precies wat lekken doen.

  51. Het PHP-beveiligingsteam kondigt een kritieke beveiligingsrelease aan voor woensdag 21 oktober, 14:00 UTC. Twee lekken, allebei CVSS 9,2. Details volgen bij de release. Iedereen gaat slapen. Niemand slaapt.

Sirenetest: elke eerste maandag van de maand om 12:00 testen wij onze paniek. U hoeft niets te doen. Gewoon doorwerken.

Wat is er aan de hand?

Het lek
Twee kritieke kwetsbaarheden in PHP zelf: CVE-2026-109618 en CVE-2026-109619, ook wel “php2shell”. Elk lek met een bijnaam is erger dan een lek zonder.
Hoe werkt het?
CVE-2026-109618, “RCE via OOM corruption”: bij een geheugentekort springt PHP met longjmp() uit een request. Soms staat het geheugen dan half klaar. Het afsluiten van het request leest dat daarna toch. Een aanvaller dwingt dat tekort af met een slimme multipart-POST, nog voordat uw eigen code draait. Volgens de write-up van de vinders op twee manieren. Eén: PHP toetst post_max_size aan de opgegeven Content-Length, niet aan wat er echt binnenkomt. Een chunked verzoek zonder lengte glipt erlangs. Twee: een lege upload (filename="") telt niet mee voor max_file_uploads, maar maakt wel zes $_FILES-items aan. Met geneste veldnamen als files[a][b][c] blaast een body van minder dan 8 MiB de standaardheap van 128 MiB op.

CVE-2026-109619, “RCE via stale global state”: globale toestand van het ene request wijst nog naar vrijgegeven geheugen als het volgende request op dezelfde worker begint. Een use-after-free. Twee verzoeken na elkaar zijn genoeg.
Welke opzet?
Apache met mod_php: volledige RCE bevestigd voor allebei, met de standaardinstellingen. PHP-FPM: RCE bevestigd via de sessievariant van CVE-2026-109619. FrankenPHP en LSAPI zijn volgens PHP vermoedelijk ook kwetsbaar.
Ernst
CVSS v4.0: 9,2 voor allebei. Ter vergelijking: een tien is het maximum. Een negen is “laat alles vallen”.
Wat kan een aanvaller?
Met een eenvoudig POST-verzoek eigen code uitvoeren op uw server (remote code execution). Daarna is het hun server.
Welke versies?
Alles vanaf PHP 5.4.0 en met de standaardinstellingen altijd uit te buiten. Precies: CVE-2026-109619 gaat terug tot PHP 5.4.0, CVE-2026-109618 volgens Red Hat tot PHP 7.3.0 (zie het bulletin). De vinders bevestigen RCE zonder inloggen op WordPress, Drupal, Joomla, MediaWiki, Roundcube, Magento, phpMyAdmin, Nextcloud, Laravel, Symfony en WHMCS. Staat uw favoriet er niet bij? Dan is hij niet getest. Niet veilig.
Wie vond het?
Calif, OpenAI en Wiz, samen met de PHP Foundation. De basis is oud. Stefan Esser vond in 2004 al een RCE via de geheugenlimiet. In 2020 meldde iemand het geheugentekort als bug #78876. In 2024 vond een audit het opnieuw. Niet gefixt: uitbuiting was “niet bewezen”. Inmiddels wel.
Misbruik?
Ja, er wordt geklopt. Volgens Security.NL zien meerdere beveiligingsbedrijven aanvalspogingen. Cloudflare ziet aanvalsverkeer tegen klanten, Hadrian spreekt van grootschalig misbruik, Patchstack en watchTowr melden actieve pogingen. Of het lukt, is onduidelijk: bij minstens één bedrijf kwamen de aanvallers niet verder dan aankloppen. Een Mirai-botnet probeert het ook, nog zonder succes: een geslaagde aanval in het wild is nog niet gezien, aldus The Hacker News. Wie gepatcht heeft, doet niet open.
Hoe groot?
Ongeveer 70 procent van alle websites draait op PHP. Ook de uwe, waarschijnlijk. Ook als u denkt van niet. Censys telt op 23 oktober nog 34,4 miljoen kwetsbare PHP-diensten.
De patch
Uit sinds 21 oktober 15:34. Gefixt in 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Elke oudere versie is kwetsbaar. PHP 8.1, 8.0 of 7.4? Daarvoor komt geen release. Wel heeft het PHP-team voor 7.4, 8.0 en 8.1 een “minimal mitigation for EOL version” als branch op GitHub gezet. Die moet u zelf bouwen. PHP 7.3 of ouder? Dan is er niets. Alleen een upgrade. Voor de vervolgbug CVE-2026-115560 komt de fix met de volgende gewone release. Tot dan raadt php.net aan session.upload_progress.enabled = 0 te zetten.

Status van de diensten

Wat moet u doen?

Ga naar binnen. Sluit ramen en poorten. Zet PHP uit.

  1. Zoek uit waar u PHP draait. Ook op plekken waar u het niet verwacht. 
    php -v
dpkg -l | grep -i php        # Debian, Ubuntu
rpm -qa | grep -i php        # Fedora, RHEL, openSUSE
  2. Is er nog geen pakket voor u? Zet PHP tijdelijk uit. Statische pagina's blijven gewoon werken. Voor Apache, bijvoorbeeld in een eigen conf: 
    # Elk verzoek dat bij een PHP-bestand uitkomt krijgt een 503,
# vóór PHP het ziet. Laat mod_php geladen, anders ziet
# de bezoeker uw broncode.
<If "%{REQUEST_FILENAME} =~ m#\.(php[0-9]?|phtml|phar)$#i">
    Redirect 503
</If>
    Voor nginx, bóven uw bestaande PHP-blok: 
    location ~* \.(php[0-9]?|phtml|phar)$ { return 503; }
    Gebruikt u PHP-FPM? Zet de dienst dan ook stil: systemctl stop php8.4-fpm.
    Zit u achter Cloudflare? Hun firewallregels staan aan, ook voor gratis klanten. Cloudflare noemt het zelf “a stopgap only”. Een noodverband dus. Patchen moet nog steeds.
    Kan PHP echt niet uit? PHP zelf noemt deze noodmaatregelen. Ze dichten het lek niet helemaal. Zet ze in php.ini of de FPM-pool, niet per site, en herstart daarna elke worker: 
    memory_limit = -1                   # CVE-2026-109618; begrens geheugen dan via cgroup of container
session.upload_progress.enabled = 0 # CVE-2026-109619, sessievariant; ook na de patch verstandig
fatal_error_backtraces = 0          # CVE-2026-109619, alleen PHP 8.5
    Begrens de body al in de webserver: LimitRequestBody 8388608 in Apache, client_max_body_size 8m; in nginx, of wat uw eigen post_max_size is. Die tellen de bytes die echt binnenkomen, ook bij chunked. Dat stopt truc één, niet truc twee. Gebruikt uw site geen bestandsuploads of multipart-formulieren? Blokkeer multipart/form-data dan al vóór PHP.
  3. Nu: patchen. Neem de pakketten van uw distributie (zie is de patch er al voor mij?). Debian 13 heeft ze al. Installeer ze zodra ze er zijn: 
    sudo apt update
sudo apt install --only-upgrade $(dpkg -l | awk '/^ii  (lib)?php/{print $2}')
sudo systemctl restart apache2 php8.4-fpm   # of wat u draait
    Controleer met php -v dat u echt de nieuwe versie draait: 8.5.12, 8.4.27, 8.3.36, 8.2.35 of een distributiepakket met de CVE’s in de changelog. Zet daarna pas PHP weer aan.
  4. Zet de uploadvoortgang van sessies uit. Voor de vervolgbug CVE-2026-115560 is er nog geen patch. PHP raadt iedereen aan dit in php.ini of de FPM-pool te zetten en daarna elke worker te herstarten. Niet via ini_set() of .user.ini. Volgens php.net: 
    session.upload_progress.enabled = 0
    Stond het al uit sinds woensdag? Laat het zo tot de volgende release.
  5. Draait u PHP 8.1 of ouder? Upgrade naar PHP 8.2 of nieuwer. Voor 7.4, 8.0 en 8.1 staat er een minimale fix op GitHub: zelf compileren, zelf testen, zelf verantwoordelijk. Wij zeiden eerder “ook niet als u het heel lief vraagt”. Blijkbaar heeft iemand het heel lief gevraagd. PHP 7.3 of ouder: echt niets.
  6. Draait u BIND? Update naar 9.20.30 of 9.21.27, of naar het pakket van uw distributie. Zit u nog op 9.18? Die krijgt geen fix meer.
  7. Heeft u een firewall van Palo Alto? Zorg dat de beheerinterface niet vanaf het internet bereikbaar is. Installeer de update van PAN-OS zodra die er is.
  8. Heeft u een QNAP-NAS? Haal hem van het internet: zet port forwarding, UPnP, myQNAPcloud Link en de ingebouwde webserver uit. Van buitenaf erbij? Via een vpn. Installeer de update van QNAP zodra die er is.
  9. Draait u Java? Werk ca-certificates bij als uw Java de certificaten van het systeem gebruikt. Anders de JDK zelf. Zie CVE-2026-91403 bij de bronnen.
  10. Kijk terug. Zoek in uw logs naar vreemde POST-verzoeken, terug tot en met 17 oktober. Toen zag Amazon de eerste aanvallen al. Vindt u iets? Ga er dan van uit dat de server niet meer van u is.
  11. Klik niet op links in e-mails over dit lek. Wij mailen nooit. Wij kunnen ook niet mailen: onze webmail draait op PHP.

Is de patch er al voor mij?

Voor PHP2Shell: ja, voor bijna iedereen. Voor de kleine vervolgbug CVE-2026-115560 nog niet: die fix komt met de volgende gewone release. Tot dan: session.upload_progress.enabled = 0. Klik voor de stand per platform en hoe u het controleert.

De fix staat sinds 15:34 op php.net: 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Nu bouwen de distributies hun pakketten. Dat duurt uren, soms dagen. De buildbots draaien. Wij kijken mee.

Let op: distributies backporten. Debian en Red Hat zetten de fix vaak in hun eigen versie, zonder het versienummer van php.net over te nemen. Vergelijk dus niet uw php -v met php.net. Zoek de CVE-nummers in de changelog van uw pakket. Staan ze erin, dan zit de fix erin.

De CVE-pagina’s van de distributies hieronder kunnen nog even een 404 geven. Dat is geen goed nieuws. Het is helemaal geen nieuws.

Stand per platform, 16:00

Debian, Raspberry Pi OS apt 
sudo apt update
apt list --upgradable 2>/dev/null | grep -i php
apt changelog php8.4 | grep -m3 -E 'CVE-2026-10961[89]'   # Debian 12: php8.2

Debian 13 (trixie): de fix is er, php8.4 8.4.27-1~deb13u1 in trixie-security. Geeft de laatste regel de CVE-nummers, of ziet u 8.4.27? Dan is de fix er. Installeer hem met sudo apt upgrade. Volg de Debian security tracker en de DSA’s.

PHP van packages.sury.org? Dan komt de fix van Ondřej Surý, niet van Debian. Kijk met apt-cache policy php8.4 waar uw PHP vandaan komt.

Ubuntu apt, pro 
sudo apt update
apt list --upgradable 2>/dev/null | grep -i php
sudo pro fix CVE-2026-109618
sudo pro fix CVE-2026-109619

pro fix zegt of uw systeem kwetsbaar is. Is de fix er, dan installeert hij hem meteen. Ubuntu geeft het lek de prioriteit Critical. De fix: 8.5.4-0ubuntu1.5 in 26.04, 8.5.9-0ubuntu2.1 in 26.10 en php8.3 8.3.6-0ubuntu0.24.04.13 in 24.04. Het versienummer blijft 8.5.4: dat is een backport. De changelog noemt beide CVE’s, dus pro fix en apt changelog php8.5 | grep CVE-2026-10961 werken. Status per release: ubuntu.com/security/CVE-2026-109618.

Ubuntu 22.04 of ouder draait PHP 8.1 of 7.x. Fixes komen daar alleen via Ubuntu Pro, als ze komen. PHP uit de PPA ondrej/php? Dan komt de fix van de PPA.

RHEL, AlmaLinux, Rocky, CentOS Stream, Fedora dnf 
sudo dnf check-update 'php*'
sudo dnf updateinfo list --cve CVE-2026-109618     # RHEL en klonen
rpm -q --changelog php-cli | grep -m3 CVE-2026-10961   # na de update

Fedora volgt php.net op de voet: daar mag u het versienummer wel vergelijken. Red Hat publiceert de status op de CVE-pagina. PHP uit de Remi-repository? Dan komt de fix van Remi. Meestal snel.

RHEL 7 of CentOS 7 met PHP 5.4? Volgens het bulletin van Red Hat kwetsbaar voor CVE-2026-109619 en er is nog geen fix. Zet session.upload_progress.enabled = 0 in php.ini en herstart Apache of PHP-FPM. Of beter: upgrade.

openSUSE, SLES zypper 
sudo zypper refresh
zypper list-patches --cve=CVE-2026-109618
zypper list-patches --cve=CVE-2026-109619
sudo zypper patch --cve=CVE-2026-109618

Tumbleweed werkt zonder patches: zypper lu | grep -i php en daarna sudo zypper dup. Status: SUSE CVE-pagina.

Alpine, Arch apk, pacman 
# Alpine
apk update
apk version -l '<' | grep -i php
# Arch (checkupdates zit in pacman-contrib)
checkupdates | grep -i php
sudo pacman -Syu

Arch is rolling: pacman -Syu en klaar. Dat wist u al. U gebruikt immers Arch.

Docker officiële php-images 
docker pull php:8.4.27-apache          # de versie pinnen, niet php:8.4-apache
docker run --rm php:8.4.27-apache php -v
docker build --pull --no-cache -t mijn-app .   # eigen image

De officiële images volgen php.net, meestal binnen enkele uren. Let op: de versietags (8.4.27-apache) komen eerst. Zwevende tags als 8.4-apache en latest volgen later. Wie die pullt, kan dus nog de oude versie krijgen. Vergelijk php -v met de versie op php.net. Een container die al draait, blijft oud. Maak hem opnieuw aan. Een herstart is niet genoeg.

Windows IIS, XAMPP, WampServer, Laragon 
php -v
choco outdated            # Chocolatey
choco upgrade php
scoop status              # Scoop
scoop update php
iisreset                  # IIS met FastCGI

Windows-builds staan op windows.php.net, meestal snel na de release. Vergelijk ze met uw php -v. Handmatig? Pak de nieuwe zip uit over uw PHP-map. Bewaar uw php.ini.

XAMPP, WampServer en Laragon lopen vaak achter. Vervang de PHP-map dan zelf. Staat XAMPP open naar internet? Dan heeft u twee problemen.

macOS Homebrew, MacPorts, Herd, MAMP 
brew update
brew outdated | grep -i php
brew upgrade php                 # of php@8.3
brew services restart php
sudo port selfupdate && port outdated | grep -i php   # MacPorts

macOS heeft sinds Monterey zelf geen PHP meer. Heeft u PHP, dan heeft u het zelf geïnstalleerd. Laravel Herd en MAMP werkt u bij in de app. Die lopen soms een paar dagen achter.

Hosting, beheerpanelen, apparaten cPanel, Plesk, NAS, router

Shared hosting, cPanel, Plesk of DirectAdmin: de update komt van uw hoster of paneel. Vraag uw hoster wanneer. Vraag het niet om 15:59.

NAS, router, firewall of printer met een webinterface: wacht op firmware van de fabrikant. Tot die tijd hoort die beheerpagina niet aan internet. Eigenlijk hoort hij daar nooit.

Draait de nieuwe versie echt?

Een geïnstalleerd pakket is nog geen draaiend pakket. PHP-FPM en Apache houden de oude code in het geheugen tot u ze herstart.

php -v                         # de CLI
php-fpm8.4 -v                  # FPM is een apart programma (RHEL: php-fpm -v)
sudo needrestart -r l          # Debian, Ubuntu: wat draait nog oude code?
sudo dnf needs-restarting -s   # RHEL, Fedora
sudo zypper ps -s              # openSUSE
curl -sI https://uw-site.nl | grep -i x-powered-by

Toont die laatste regel een versienummer? Dan vertelt u het ook aan aanvallers. Zet expose_php = Off in uw php.ini.

Na de update kan een PHP-proces dat te veel geheugen gebruikt stoppen met exit code 137. Dat is de nieuwe harde geheugengrens van PHP, geen aanval. Uitleg bij Alexandre Daubois. Draait u de noodmaatregel memory_limit = -1? Zet die na de update terug.

Pas als de CVE in de changelog staat en de dienst herstart is, bent u veilig. Zet dan pas PHP weer aan.

Bronnen

Deze pagina is een grap. De feiten hierboven zijn dat niet. Twijfelt u? Dan wint de bron.

Eerdere crisussen

Alles van vroeger, met de originele beelden en de 503-pagina’s van vandaag, hangt in het Crisus-museum.