Beveiligingskwetsbaarheden in PHP

Er zijn twee kritieke beveiligingskwetsbaarheden bekendgemaakt in PHP: CVE-2026-109618 en CVE-2026-109619. Beide kwetsbaarheden hebben een CVSS-score van 9.2 en kunnen mogelijk leiden tot Remote Code Execution (RCE) zonder authenticatie.

Volgens de momenteel beschikbare informatie kunnen PHP-versies vanaf PHP 5 en hoger getroffen zijn. De precieze reikwijdte van de kwetsbaarheden wordt op dit moment nog onderzocht.

De PHP-ontwikkelaars hebben voor vandaag, 21 oktober 2026 om einde middag (16:00) Nederlandse tijd, beveiligingsupdates aangekondigd waarmee de kwetsbaarheden worden verholpen.

Door het grote aantal vragen en de media aandacht zijn we veel aan het bellen, het kan langer duren voordat je antwoord krijgt dan je van ons gewend bent. Stuur liever geen extra tickets of extra belletjes over dezelfde vraag, want dat vertraagt de afhandeling.

We houden alle systemen nauwlettend in de gaten en we zullen opvolging geven aan incidenten. Hieronder per dienstengroep de status:

Webhosting

Onze webhostingspartner heeft preventieve maatregelen genomen en monitort de door ons beheerde hostingomgevingen samen met ons actief. Zodra de beveiligingsupdates beschikbaar zijn, zullen deze zo spoedig mogelijk testen en waar mogelijk installeren.

Voor klanten zelf is op dit moment geen actie noodzakelijk. Websites en overige dienstverlening blijven vooralsnog normaal beschikbaar. Websites waar nog verouderde versies van PHP draaien zullen we uit voorzorg updaten.

We blijven de ontwikkelingen volgen en zullen deze statusmelding bijwerken wanneer er nieuwe informatie of beveiligingsupdates beschikbaar zijn.

Ter achtergrond, onze servers zijn sinds vanochtend door onze webhostingpartner op drie manieren beschermd:

• WAF-regels, actief sinds vanochtend 8:30.
• De upload-voortgangsfunctie van PHP is uitgeschakeld. Via deze functie loopt een van de bekende aanvalsroutes.
• Een nieuwe set beveiligingsregels van Imunify360. Deze regels blokkeren de aanvalsmethode die nu in omloop is en worden automatisch op al onze shared-, reseller-, VPS-servers toegepast.

Als je toch graag wil dat we je site uit voorzorg volledig uit de lucht halen, stuur ons een ticket via support@xsbyte.com met in de titel: Website offline halen, met in de berichttekst uitsluitend dat je dit graag uitgevoerd wil hebben.

Telefooncentrales

De webinterfaces van de telefooncentrales zullen uit voorzorg uitgeschakeld worden, tot de omgevingen gepatcht zijn.

Diverse andere diensten

Diverse diensten hebben momenteel (tot het moment van patchen) beperkte beschikbaarheid of zijn volledig offline. We zijn op de hoogte van onder andere (gedeeltelijke of volledige) uitschakeling van diensten bij Bubble, Axeos, Clearvox, WeFact. We hebben uit voorzorg ook de backend van Verbindr.nl offline gehaald. We zien ook dat er landelijke platforms zoals RTL en Tweede Kamer offline zijn gehaald.

Voor onze diensten geldt dat er geen actie nodig is van de gebruikers, mochten er op individueel niveau problemen zijn, zullen we hierover in contact treden.