Voor de duidelijkheid zullen wij updates bovenaan plaatsen zodat dit voor iedereen zichtbaar is.

Laatse update woendag 28 oktober (6:15)
Na een bijzonder intensieve week kunnen wij melden dat al onze eigen shared hosting- en resellerhostingservers inmiddels zijn bijgewerkt en/of voorzien van aanvullende beveiligingsmaatregelen tegen de kritieke PHP kwetsbaarheden (CVE's). Dit is gebaseerd op de controles en bevestigingen die wij tot op heden hebben kunnen uitvoeren. Een beperkt aantal servers worden toch nog aanvullend handmatig gecontroleerd voor de zekerheid.

Oudere Plesk- en DirectAdmin-servers (CentOS 6.x)
Alle klanten met dergelijke verouderde servers zijn inmiddels persoonlijk benaderd. Omdat CentOS 6.x al jarenlang niet meer wordt ondersteund en ook de betreffende oude Plesk- en DirectAdmin-omgevingen geen reguliere beveiligingsupdates meer ontvangen, was een aanvullende oplossing noodzakelijk. Onze technici hebben hiervoor een oplossing ontwikkeld waarbij, na de nodige handmatige aanpassingen en controles, gebruik wordt gemaakt van TuxCare PHP ELS. Hiermee kunnen de betreffende oudere PHP versies alsnog van beveiligingspatches worden voorzien. Het merendeel van de benaderde klanten heeft gelukkig voor deze oplossing gekozen.

De ernst van de kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) mag niet worden onderschat. Beide kwetsbaarheden hebben een CVSS-score van 9,2 op 10 (Critical). Misbruik kan leiden tot ongeautoriseerde toegang, het uitvoeren van schadelijke code en mogelijk het overnemen van één (of meerdere) hostingaccounts. Afhankelijk van de serverconfiguratie en aanwezige beveiligingsmaatregelen kunnen de gevolgen nog aanzienlijk groter zijn (volledige server access).

Klanten die niet hebben gereageerd
Helaas heeft een kleine groep klanten, ondanks meerdere persoonlijke waarschuwingen en herinneringen, niet gereageerd. Wij hebben dit zorgvuldig vastgelegd in hun serveradministratie, inclusief de verstrekte waarschuwingen en het uitblijven van een opdracht tot aanvullende beveiligingsmaatregelen. Voor deze servers blijven de betreffende beveiligingsrisico's bestaan. De verantwoordelijkheid voor het alsnog laten treffen van passende maatregelen en de risico's van het uitblijven daarvan ligt bij de betreffende serverbeheerder. Wij kunnen de veiligheid van deze verouderde omgevingen niet garanderen, derhalve is dit dan ook genoteerd in hun server administratie bij ons.

Ook nieuwere servers verdienen aandacht
Bij aanvullende steekproeven constateren onze technici dat sommige klanten op modernere Plesk servers nog altijd verouderde PHP verses beschikbaar hebben, waaronder PHP 7.3 en ouder. Ook deze versies zijn kwetsbaar wanneer zij niet van aanvullende beveiligingspatches zijn voorzien. Wij adviseren daarom nogmaals dringend ongebruikte PHP versies uit te schakelen via Plesk > Tools & Settings > PHP Settings en gebruikte versies te actualiseren of passend te beveiligen. Ook hierover zijn de betreffende klanten eerder geïnformeerd. Waar nodig leggen wij onze bevindingen vast in de serveradministratie. Dit kan u gewoon zelf doen en hiervoor hoeft u geen support ticket aan te maken.

Afronding en hervatting reguliere werkzaamheden
Met deze update sluiten wij voorlopig onze berichtgeving over de kritieke PHP-kwetsbaarheden af. Onze technici hebben de afgelopen week vrijwel onafgebroken gewekt om de risicos zo snel en zorgvuldig mogelijk te beperken. Inmiddels zijn reguliere bestellingen en eerder uitgestelde werkzaamheden hervat. Geplande servermigraties worden vanaf dinsdag 3 november weer opgepakt, rekening houdend met reeds bestaande afspraken en werkzaamheden. Wij danken onze klanten voor hun begrip en geduldd gedurende deze uitzonderlijk drukke periode.

Hieronder samenvatting van donderdag 26 oktober
Wij hebben vandaag een groot aantal klanten beanderd met een DirectAdmin server op CentOS 6.x en deze een oplossing aangeboden om toch veilig PHP te kunnen gebruiken. Op dit moment zijn technici met de laatste zaken bezig. Het waren een aantal vermoeidende dagen voor onszelf alsook voor onze technici. Verder hebben onze technici nog een paar aanpassingen gedaan inzake de installatie van TuxCare ELS PHP op de DirectAdmin CentOS 6.x servers (ondertussen ook ondersteuning voor mod_php). De DirectAdmin CentOS 6.x servers die al geupdate waren, zijn nog een keer handmatig nagelopen door onze technici. Wij hopen vanaf woensdag alles afgerond te hebben inzake de PHP CVE's.

Hieronder samenvatting van donderdag 24 oktober
Inmiddels hebben onze technici succes geboekt met de installatie en omzetting van onveilige PHP-versies voor gedateerde DirectAdmin servers op basis van CentOS 6.x. Tot dusver zijn de resultaten zeer positief te noemen. Technici zijn nog met het script bezig en verbeteren (zo wordt mod_php nog niet ondersteund, maar dit is bij een beperkt aantal DirectAdmin installaties het geval), daarnaast moet er voordat het script uitgevoerd kan worden wel het één en ander handmatig gecontroleerd worden en aangepast worden. Maar tot dusver werkt de oplossing van onze technici goed. Daarmee is dus de urgentie om te migreren naar een nieuwe OS (en de problemen die daar bij komen kijken) voorlopig van de baan.

Helaas zitten er wel kosten aan verbonden aan deze aanpassing / omzetting. Zo rekenen wij wel een éénmalige tech fee (voor het handmatig controleren en aanpassen) alsook worden er abonnementskosten berekend voor het TuxCare ELS PHP programma. Die laatste krijgen wij natuurlijk ook doorberekend. Het TuxCare ELS PHP programma houdt in dat er een speciaal team diverse fixes, updates, patches en dergelijke uit de nieuwere PHP-versies backport en deze aanpassing toevoegd aan de oudere PHP-versies die dus niet meer onderhouden worden. Daarmee werken oude PHP-versies weer veilig (en dus ook geen last van de twee kritieke CVE's die in het nieuws zijn) en daarnaast ook beter en ook qua performance beter. Ook zijn deze PHP-versies uitgebreid met meer PHP-modules (uiteraard allemaal veilig) en zijn ook andere zaken geregelateerd aan PHP weer up-to-date (ionCube, OpenSSL, libcurl en dergelijke).

Wij zullen deze klanten in de loop van de dag berichten over de mogelijkheden en de kosten hiervan. Maar dit is voor de rest goed nieuws voor klanten met een oudere DirectAdmin CentOS 6.x server die wel een veilige omgeving willen hebben.

Hieronder samenvatting van donderdag 23 oktober
Onze technici hebben ook op 23 oktober vrijwel de gehele dag gewerkt aan het beveiligen van verouderde PHP-omgevingen en het oplossen van problemen naar aanleiding van de twee kritieke PHP-kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619). Alle klanten met een eigen Plesk-server waarop nog verouderde en ongepatchte PHP-versies actief zijn, zijn inmiddels persoonlijk geïnformeerd. Daarbij hebben wij verschillende oplossingen aangeboden, waaronder het overstappen naar recentere PHP-versies of het toepassen van aanvullende beveiligingspatches via TuxCare. Onze technici voeren de noodzakelijke werkzaamheden uit op basis van de keuzes van deze klanten.

Daarnaast worden nog altijd enkele servers met afwijkende configuraties handmatig bijgewerkt. Vooral bij sterk verouderde serveromgevingen blijkt het installeren en configureren van beveiligingsupdates aanzienlijk complexer dan doorgaans wordt aangenomen. DirectAdmin-servers met CentOS 6.x blijven een belangrijk aandachtspunt. Hiervoor onderzoeken onze technici nog altijd alternatieve beveiligingsoplossingen. CentOS 6.x wordt sinds november 2020 niet meer ondersteund en het langdurig uitstellen van noodzakelijke servermigraties brengt aanzienlijke beveiligingsrisico's met zich mee.

Servermigraties tijdelijk uitgesteld
Wij ontvangen momenteel uitzonderlijk veel verzoeken om servers te migreren naar een moderner besturingssysteem. Hoewel wij deze wens begrijpen, heeft het beveiligen van kwetsbare PHP-omgevingen momenteel onze absolute prioriteit. Daarom zijn zowel nieuwe migratieverzoeken als enkele reeds ingeplande migraties tijdelijk uitgesteld. Betrokken klanten zijn hierover geïnformeerd.

Wij verwachten vanaf medio volgende week de reguliere werkzaamheden en migraties geleidelijk te kunnen hervatten. Nieuwe migratieverzoeken worden vanaf dat moment weer ingepland, rekening houdend met de bestaande wachtrij. Onze technici blijven ondertussen met de hoogste prioriteit werken aan het beveiligen van de resterende kwetsbare serveromgevingen.

Wij danken onze klanten voor hun begrip en geduld gedurende deze uitzonderlijk drukke periode.

Hieronder samenvatting van donderdag 22 oktober
Onze technici hebben ook op 22 oktober vrijwel de gehele dag en avond gewerkt aan het beveiligen en controleren van onze Plesk- en DirectAdmin-serveromgevingen. Inmiddels zijn meer dan 7.000 PHP-installaties bijgewerkt en is ook de aanvullende beveiligingshotfix voor Plesk sw-engine uitgerold. Daarnaast zijn, op twee klanten na, alle Plesk-servers met het verouderde CentOS 6.x voorzien van aanvullende PHP-beveiligingspatches. Hoewel hiermee de betreffende PHP-versies beter beveiligd zijn, blijft het verouderde besturingssysteem zelf een risico.

Ondertussen brengen onze technici in kaart welke Plesk-servers nog gebruikmaken van verouderde en niet langer ondersteunde PHP-versies. PHP-versies die niet meer worden bijgewerkt en niet in gebruik zijn, worden waar mogelijk uitgeschakeld. Klanten die nog kwetsbare PHP-versies gebruiken, zullen hierover persoonlijk of via een algemene mailing worden geïnformeerd.

Belangrijk advies: Controleer of uw Plesk-server nog websites heeft die PHP-versies ouder dan 7.4 gebruiken. Deze ontvangen vanuit Plesk geen reguliere beveiligingsupdates meer en vormen daarmee een aanzienlijk risico. Wij proberen iedere klant hierover te informeren, maar dat zal in stappen gaan. Het is daarom raadzaam om tijdig zelf actie te ondernemen hierin! Afwachten is niet aan te ragen aangezien er steeds meer websites misbruikt worden (of verwijderd worden).

De urgentie blijft hoog. Ook het NCSC heeft inmiddels de eerste signalen ontvangen dat de recente PHP-kwetsbaarheden daadwerkelijk worden misbruikt. Zie ook het nieuwsbericht op NCSC (Nederlandse Nationaal Cyber Security Centrum) hier.
Verder heeft Tweakers.net een zeer uitgebreid achtergrond artikel geschreven inzake php2shell, wellicht interessant om te lezen. Dit artikel vindt u hier terug.

Hoewel de grootschalige uitrol grotendeels is afgerond, zijn onze technici nog altijd bezig met enkele afwijkende serverconfiguraties, aanvullende controles en het inventariseren van kwetsbare PHP-installaties. Deze werkzaamheden zullen naar verwachting sowieso nog enkele dagen in beslag nemen gezien het aantal servers dat wij onder ons beheer hebben.

Hieronder samenvatting van donderdag 21 oktober

DirectAdmin: Alle beschikbare beveiligingspatches voor PHP 5.6 t/m PHP 8.5 zijn uitgerold, inclusief de patches voor de oudere PHP-versies.

Plesk: Alle beschikbare beveiligingspatches voor PHP 7.4 t/m PHP 8.5 zijn uitgerold. PHP-versies ouder dan 7.4 ontvangen vanuit Plesk geen beveiligingsupdates meer en blijven daarmee een aanzienlijk risico (zie verderop).
Verder inzake Plesk:

• Plesk sw-engine: De aanvullende beveiligingshotfix is inmiddels op alle daarvoor geschikte Plesk-servers geïnstalleerd.
• mod_php: Deze verouderde en risicovolle PHP-handler is op onze Plesk-servers uitgeschakeld en zal niet meer worden geactiveerd. Websites die hiervan afhankelijk waren, moeten mogelijk worden aangepast of overgezet naar een andere PHP-handler.

Hoewel de grootschalige uitrol is afgerond, zijn onze technici nog altijd bezig met een beperkt aantal problematische servers. Dit betreft voornamelijk DirectAdmin-servers met afwijkende of aangepaste configuraties, waardoor de reguliere updateprocedure niet volledig kon worden uitgevoerd. Daarnaast worden enkele servers nagelopen waarop na installatie van de beveiligingsupdates configuratiefouten of andere problemen zijn ontstaan. Deze worden waar nodig handmatig verholpen; het gaat hier om een kleine 60 resterende servers. Het overgrote deel van de werkzaamheden is daarmee afgerond. De resterende uitzonderingen worden momenteel afgehandeld.

Oudere PHP-versies en CentOS 6.x (alternatieve oplossing)

Vooral servers die nog draaien op CentOS 6.x vormen een aanzienlijk beveiligingsrisico. Dit besturingssysteem wordt sinds november 2020 niet meer ondersteund door CentOS en evenmin door de huidige versies van Plesk en DirectAdmin. Voor klanten die om welke reden dan ook afhankelijk zijn van dergelijke verouderde serveromgevingen, hebben wij inmiddels een mogelijke alternatieve oplossing gevonden: TuxCare PHP Extended Lifecycle Support (ELS).

Dit programma biedt aanvullende beveiligingspatches voor bepaalde verouderde PHP-versies. Hieraan zijn echter aanzienlijke kosten verbonden en bovendien moet per server worden onderzocht of deze oplossing technisch toepasbaar is. Wij zullen klanten met dergelijke verouderde serveromgevingen hierover vandaag trachten benaderen. Heeft u nog een server met CentOS 6.x en ontvangt u hierover geen bericht? Dan kunt u uiteraard zelf een supportticket aanmaken via Helpburo.eu, zodat onze technici de mogelijkheden kunnen onderzoeken.

Extra opmerking inzake oudere PHP-versies in combinatie met Plesk server; wanneer u een Plesk server heeft en u draait nog met oude, dus niet veilige PHP-versies (PHP 5.x t/m PHP 7.3), dan het dringende advies om uw website om te zetten naar een nieuwere PHP-versie die wel gepatched is (PHP 7.4 of hoger) en de oude PHP-versie uit te zetten op uw Plesk server. Indien u, om welke reden dan ook, dit niet kan of wenst, dan is de enige veilige manier om toch gebruik te maken van dergelijke oude PHP-versies om via ons TuxCare PHP Extended Lifecycle Support (ELS) aan te schaffen. Het afschermen van (bijvoorbeeld) een PHP 5.6 (onveilige PHP) website is NIET voldoende. Neem hierover contact met ons op via een support ticket op Helpburo.eu.

Het is een bijzonder intensieve dag en nacht geweest voor onze technische afdeling (en op dit moment nog steeds). Door de enorme hoeveelheid PHP-installaties, uiteenlopende serverconfiguraties en het gefaseerd beschikbaar komen van de beveiligingspatches was dit een omvangrijke operatie. Meer dan 7.000 PHP-installaties zijn bijgewerkt, aanvullende beveiligingsmaatregelen zijn doorgevoerd en ook de Plesk-beheeromgeving is voorzien van de noodzakelijke hotfix. Onze technici blijven de resterende servers controleren en eventuele aanvullende beveiligingsupdates toepassen. waar nodig en waar dit kan, zodra deze beschikbaar komen.

Hieronder het originele nieuwbericht van woensdag 20 oktober

Vooropgesteld; maak hierover geen support tickets aan, daar wij hier dus al mee bezig zijn!

De ontwikkelaars van PHP hebben gewaarschuwd voor twee uiterst kritieke beveiligingslekken die mogelijk vrijwel alle PHP-versies treffen, waaronder oudere versies uit de PHP 5.x- en 7.x-reeksen en de nieuwere PHP 8.x-versies. De kwetsbaarheden kunnen kwaadwillenden in staat stellen om op afstand schadelijke code uit te voeren op kwetsbare webservers, mogelijk zelfs zonder voorafgaande authenticatie. De twee kwetsbaarheden, geregistreerd als CVE-2026-109618 en CVE-2026-109619, hebben beide een ernstscore van 9,2 op 10 (CVSS 4.0). Daarmee behoren ze tot de categorie kritieke beveiligingsproblemen.

PHP vormt de basis van miljoenen websites en webapplicaties, waaronder WordPress, Joomla, Drupal, Magento en WooCommerce. Volgens de eerste beveiligingsonderzoeken bevinden de kwetsbaarheden zich in de interne verwerking van HTTP-verzoeken en bestandsuploads door PHP. Hierdoor zouden aanvallers mogelijk schadelijke code kunnen uitvoeren zonder dat daarvoor een kwetsbare WordPress-plugin, een beheerdersaccount of andere inloggegevens nodig zijn.

Bij succesvol misbruik kunnen onder andere websitebestanden, databases en vertrouwelijke gegevens worden buitgemaakt of aangepast. Afhankelijk van de serverconfiguratie kan een aanvaller mogelijk ook verdere toegang tot het systeem verkrijgen. Er circuleren inmiddels demonstraties van de kwetsbaarheden, waardoor het risico op misbruik serieus moet worden genomen.

Bijzonder zorgwekkend is dat beveiligingsonderzoekers vermoeden dat de kwetsbaarheden al jarenlang aanwezig zijn en mogelijk alle PHP-versies vanaf PHP 5 treffen. Dit zou betekenen dat niet alleen verouderde PHP-versies zoals 5.6, 7.4, 8.0 en 8.1 kwetsbaar kunnen zijn, maar ook recentere versies zoals PHP 8.2, 8.3, 8.4 en 8.5. De exacte lijst met getroffen versies moet nog officieel door de PHP-ontwikkelaars worden bevestigd.

Vooral oudere PHP-versies vormen een extra uitdaging. Deze ontvangen geen reguliere beveiligingsupdates meer vanuit het officiële PHP-project. Het is daarom onzeker of hiervoor nog beveiligingspatches beschikbaar komen via externe leveranciers.

Het PHP Security Team heeft aangekondigd op woensdag 21 oktober 2026 om 16:00 uur Nederlandse tijd noodupdates uit te brengen. Ook leveranciers van hostingcontrolpanels, waaronder Plesk en DirectAdmin, zijn op de hoogte en bereiden updates voor. Totdat de beveiligingspatches beschikbaar en geïnstalleerd zijn, kunnen aanvullende beveiligingsmaatregelen noodzakelijk zijn. Daarbij wordt onder andere gekeken naar het beperken van bepaalde PHP-uploadfunctionaliteit en het inzetten van aanvullende Web Application Firewall (WAF)-regels. Hier zijn onze technici al mee bezig.

Dergelijke maatregelen kunnen het risico op misbruik verkleinen, maar bieden niet noodzakelijk volledige bescherming tegen beide kwetsbaarheden.

Wij volgen de ontwikkelingen rondom deze kritieke beveiligingslekken nauwlettend en beoordelen welke aanvullende maatregelen op onze hostinginfrastructuur noodzakelijk zijn. Zodra de beveiligingsupdates beschikbaar zijn via de betreffende softwareleveranciers, zullen wij deze zo spoedig mogelijk beoordelen en waar nodig op onze beheerde hostingomgevingen installeren. Voor klanten die gebruikmaken van onze reguliere webhosting- en resellerhostingdiensten verzorgen wij het onderhoud van de onderliggende PHP-omgeving. Daarnaast adviseren wij alle klanten om verouderde PHP-versies waar mogelijk te vervangen door een officieel ondersteunde versie. Dit blijft belangrijk, ook nadat deze specifieke kwetsbaarheden zijn verholpen.

Gezien de ernst en de mogelijk grote hoeveelheid getroffen websites en servers beschouwen wij deze beveiligingsproblemen als zeer urgent. Zodra er meer informatie beschikbaar komt over de exacte kwetsbare PHP-versies, effectieve beveiligingsmaatregelen en definitieve oplossingen, zullen wij hierover verdere informatie verstrekken.

Zoals hierboven aangegeven staat zijn onze technici inmiddels bezig om dit zo goed mogelijk, voor nu wat er mogelijk is, om dit af te schermen. Maar het is wachten totdat er updates/patches vrijgegeven worden door PHP zelf en vervolgens door Plesk en DirectAdmin. Indien u een plain (LAMP) server heeft, dan bent u zelf verantwoordelijk om dit op te lossen (raadpleeg de bronnen hieronder of zoek hierop via zoekmachines).

Wij verwachten meer informatie na 14:00 Nederlandse tijd. Naar verwachting zal dan PHP met updates/patches komen die dit beveiligingsrisico zullen tegen gaan. Wij kunnen niet garanderen dat de end-of-life PHP-versies, zoals bijvoorbeeld PHP 5.6, ook deze update/patch krijgen. In dat geval gaan wij die PHP-versies wel uitzetten. Maar dit is afwachten tot vanmiddag. Dus wij vragen u hierin geduld te hebben.

Nogmaals; maak aub geen tickets hierover aan, wij zijn hier reeds druk mee bezig! Hou dit nieuwsbericht (op https://helpburo.eu) in de gaten voor updates.

Bronnen:

• https://www.php.net/archive/2026.php#2026-10-20-1
• https://cert.europa.eu/publications/security-advisories/2026-018/
• https://forum.directadmin.com/threads/critical-php-updates.82726/
• https://talk.plesk.com/threads/eta-for-critical-php-security-updates-cve-2026-109618-cve-2026-109619.395516/