Bedrijfsvoering, Nieuws

PHP-beveiligingslekken: uw hosting bij Digizaal is gepatcht

Schild met vinkje: PHP-beveiligingsupdate doorgevoerd op Digizaal-hosting
23
okt

De afgelopen week is er veel te doen geweest over twee ernstige beveiligingslekken in PHP, de programmeertaal waarop onder andere WordPress, Joomla, WooCommerce en de meeste andere websites draaien. Veel klanten vroegen ons of hun website veilig is en of Digizaal de updates al heeft doorgevoerd. Het korte antwoord: ja, alle hostingpakketten bij Digizaal zijn bijgewerkt, binnen enkele uren nadat de patches beschikbaar kwamen. Hieronder leggen we uit wat er aan de hand was, wat wij hebben gedaan en hoe we in de toekomst met updates omgaan.

Wat was er aan de hand?

Op 21 oktober 2026 bracht het PHP-project noodupdates uit voor twee kritieke kwetsbaarheden, bekend als CVE-2026-109618 en CVE-2026-109619. Beide lekken hebben een ernstscore van 9,2 op 10 en maken het mogelijk dat een aanvaller van buitenaf, zonder in te loggen, eigen code uitvoert op een webserver. Er was geen instelling waarmee het probleem volledig te omzeilen was: alleen updaten hielp.

Kort na de bekendmaking doken voorbeeldaanvallen op en werd misbruik in het wild waargenomen. Ook het Europese CERT-EU waarschuwde organisaties om direct te patchen. De volgende PHP-versies bevatten de oplossing:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Oudere versies (PHP 8.1 en lager) krijgen van het PHP-project zelf geen officiële updates meer.

Wat heeft Digizaal gedaan?

Onze servers halen beveiligingsupdates automatisch binnen. Daardoor waren de patches snel actief:

  • 21 oktober, middag: PHP 8.2 en 8.3 bijgewerkt naar 8.2.35 en 8.3.36, dezelfde dag als de release.
  • 22 oktober, nacht: PHP 8.4 en 8.5 bijgewerkt naar 8.4.27 en 8.5.12.
  • 22 oktober: ook de systeemversie van PHP op de server is voorzien van de beveiligingsfix.

U hoeft hier zelf niets voor te doen. Welke PHP-versie u ook gebruikt binnen uw hostingpakket, de gepatchte versie is actief. Gebruikt uw website nog een verouderde PHP-versie, dan nemen wij contact met u op om samen over te stappen naar een ondersteunde versie.

Hoe gaan wij in de toekomst om met updates?

Beveiliging is geen eenmalige actie maar een doorlopend proces. Daarom hanteren we de volgende werkwijze:

  • Automatische updates als standaard. Alle hostingpakketten bij Digizaal worden tegenwoordig standaard automatisch bijgewerkt. Beveiligingsupdates voor de server, PHP en het hostingplatform worden doorgevoerd zodra ze beschikbaar zijn, zonder dat u daar iets voor hoeft te doen.
  • Kritieke lekken krijgen voorrang. Bij ernstige kwetsbaarheden zoals deze controleren wij actief of de update op al onze servers is doorgevoerd, en grijpen we direct in waar nodig.
  • Verouderde PHP-versies uitfaseren. We stimuleren klanten om over te stappen naar een PHP-versie die nog beveiligingsupdates krijgt, en helpen daar graag bij.
  • Duidelijke communicatie. Bij grote beveiligingsincidenten informeren we u via deze nieuwspagina en via onze statuspagina status.digizaal.net.

Wat kunt u zelf doen?

De serverkant hebben wij geregeld. Houd daarnaast ook uw website zelf up-to-date: WordPress, plugins en thema’s. Verouderde plugins zijn nog altijd een van de meest voorkomende oorzaken van gehackte websites. Twijfelt u of uw website goed is bijgewerkt, of heeft u vragen over dit bericht? Neem gerust contact met ons op.