Producten en stacks · Hostingplatforms en serverbeheerders

PHP2Shell in Bluehost: getroffen en hoe op te lossen

Snel oordeel

Getroffen; er is alleen een fix voor sommige versies of onderdelen.

Status leverancier: Gedeeltelijk opgelost
PHP: patched builds deploying · cPanel 8.2–8.5 + 7.4–8.1 backports · CloudLinux/TuxCare backports 5.2–8.5 · Plesk · VPS/dedicated: package update
Laatst gecontroleerd: 2026-10-22

De statusmelding “PHP Updates” van Bluehost (geplaatst op 21 oktober) zegt in de laatste update, 22 oktober 10:00 uur Amerikaanse Oostkusttijd (14:00 UTC), dat de teams flinke vooruitgang hebben geboekt met het uitrollen van gepatchte PHP-builds over de hele hostinginfrastructuur, en noemt nu de builds: op cPanel EasyApache 4 PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 plus leveranciersbackports 8.1.34-5, 8.0.30-12 en 7.4.33-19; op CloudLinux EasyApache 4 voor CentOS 7 / CloudLinux 7 backports voor elke tak van 5.2 tot 8.3 (bijvoorbeeld ea-php83 8.3.35-2.el7.cloudlinux.2 en ea-php74 7.4.33-18.el7.cloudlinux.13); CloudLinux/TuxCare alt-php ELS-builds voor 5.2 tot 8.5 (bijvoorbeeld alt-php85 8.5.11-5 en alt-php82 8.2.34-7); Plesk PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 plus Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11 voor de PHP van het paneel zelf; en distributiepakketten voor AlmaLinux, Rocky Linux, CentOS Stream, Fedora, Ubuntu en Debian. Veel backports houden een ouder versienummer, dus vergelijk de volledige buildstring. Volgens Bluehost is een site gepatcht en hoeft u niets te doen als de versie in phpinfo() gelijk is aan of nieuwer is dan een genoemde build; wie zelf een VPS of dedicated server beheert, voert een pakketupdate uit via het controlepaneel, en klanten die iets moeten doen krijgen een e-mail. De vorige update (23:00 uur Amerikaanse Oostkusttijd op 21 oktober) meldde dat het merendeel van de servers gepatcht was, met maatregelen die uploadgroottes kunnen beperken. Een einddatum wordt niet genoemd.

De PHP-versie van Bluehost controleren

Voer de opdracht voor uw opzet uit. Een versie vanaf 8.2.35, 8.3.36, 8.4.27 of 8.5.12 in de betreffende tak is gepatcht; oudere takken alleen met een leveranciersbuild die dat vermeldt.

php -v

De php op de opdrachtregel kan verschillen van de PHP die de site serveert. Controleer voor de zekerheid de web-SAPI (een tijdelijke phpinfo()-pagina achter een login, of de PHP-instellingen van het paneel) en verwijder die daarna. Onze versiecontrole vergelijkt het nummer voor u.

🔎 Versienummer gevonden? Plak het in de PHP2Shell-checker →

PHP2Shell in Bluehost oplossen

Zoek uit waar de PHP van deze applicatie vandaan komt: uw distributie, een externe repository (Ondřej Surý, Remi), een hostingpaneel, een Docker-image of uw hoster.
Werk die PHP bij naar 8.2.35, 8.3.36, 8.4.27, 8.5.12 of een leveranciersbuild met de teruggezette fix en herstart alle PHP-workers.
Op shared of managed hosting kunt u PHP niet zelf patchen: vraag de hoster of de gepatchte PHP is uitgerold en zet de site in het paneel op een gepatchte versie.
Draait de site nog op PHP 8.1 of ouder, stap dan over op een ondersteunde tak; PHP publiceerde alleen bronpatches voor 7.4, 8.0 en 8.1.

Laat u de controle liever aan een AI-agent over? Controleren of u getroffen bent · Oplossen met een AI-agent

Als u nog niet kunt patchen

Zet session.upload_progress.enabled = 0 waar applicaties het niet kunnen overschrijven (php.ini, php_admin_value in de FPM-pool of Apache-config) en herstart PHP.
Zet op PHP 8.5 fatal_error_backtraces = 0.
Het tijdelijke advies van PHP gaat ook over memory_limit en een lage post_max_size; volg de oplossingspagina precies, want deze instellingen dekken maar een deel van de paden.
Beperk de toegang (VPN, IP-allowlist) of haal de dienst offline als die op PHP 8.1 of ouder draait zonder backport van de leverancier. WAF-regels helpen, maar zijn geen fix.

FAQ

Is Bluehost getroffen door PHP2Shell?

Getroffen; er is alleen een fix voor sommige versies of onderdelen. De statusmelding “PHP Updates” van Bluehost (geplaatst op 21 oktober) zegt in de laatste update, 22 oktober 10:00 uur Amerikaanse Oostkusttijd (14:00 UTC), dat de teams flinke vooruitgang hebben geboekt met het uitrollen van gepatchte PHP-builds over de hele hostinginfrastructuur, en noemt nu de builds: op cPanel EasyApache 4 PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 plus leveranciersbackports 8.1.34-5, 8.0.30-12 en 7.4.33-19; op CloudLinux EasyApache 4 voor CentOS 7 / CloudLinux 7 backports voor elke tak van 5.2 tot 8.3 (bijvoorbeeld ea-php83 8.3.35-2.el7.cloudlinux.2 en ea-php74 7.4.33-18.el7.cloudlinux.13); CloudLinux/TuxCare alt-php ELS-builds voor 5.2 tot 8.5 (bijvoorbeeld alt-php85 8.5.11-5 en alt-php82 8.2.34-7); Plesk PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 plus Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11 voor de PHP van het paneel zelf; en distributiepakketten voor AlmaLinux, Rocky Linux, CentOS Stream, Fedora, Ubuntu en Debian. Veel backports houden een ouder versienummer, dus vergelijk de volledige buildstring. Volgens Bluehost is een site gepatcht en hoeft u niets te doen als de versie in phpinfo() gelijk is aan of nieuwer is dan een genoemde build; wie zelf een VPS of dedicated server beheert, voert een pakketupdate uit via het controlepaneel, en klanten die iets moeten doen krijgen een e-mail. De vorige update (23:00 uur Amerikaanse Oostkusttijd op 21 oktober) meldde dat het merendeel van de servers gepatcht was, met maatregelen die uploadgroottes kunnen beperken. Een einddatum wordt niet genoemd.

Lost het bijwerken van Bluehost zelf CVE-2026-109618 en CVE-2026-109619 op?

Alleen als de update gepatchte PHP bevat. PHP2Shell is een lek in de PHP-interpreter; het gaat om de PHP waarop Bluehost draait. Controleer de versie na het bijwerken.

Welke PHP-versies lossen PHP2Shell op?

PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12, uitgebracht op 21 oktober 2026. PHP 8.1 en ouder krijgen geen release van het PHP-project; alleen leveranciersbuilds met backport (of een zelf gebouwde bronpatch voor 7.4, 8.0 en 8.1) lossen ze op.

Wat als er voor Bluehost nog geen fix is?

Houd de PHP-webinterface van internet af (VPN of IP-allowlist), pas de tijdelijke PHP-instellingen toe zoals het uitschakelen van session upload progress, en installeer de update van de leverancier zodra die uitkomt. Tijdelijke instellingen verkleinen het risico, maar zijn geen fix.

← Alle producten met ingebouwde PHP

Zie ook: Oplossing per platform · Getroffen versies · Status leveranciers

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

Onofficiële samenvatting van openbare bronnen. Deze site is niet verbonden aan de leverancier of het PHP-project en host geen exploitcode.