Niet php.net · Niet NVD · Niet CISA

PHP-kwetsbaarhedentracker

Onofficiële briefing over beveiligingslekken in PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Beveiligingswaarschuwing

PHP2Shell: werk PHP bij. Dat is de enige volledige oplossing.

CVE-2026-109618 en CVE-2026-109619 zijn kritieke kwetsbaarheden in PHP zelf die uitvoering van code op afstand zonder authenticatie mogelijk maken. Het PHP-project bracht op 21 oktober 2026 fixes uit voor de ondersteunde takken 8.2 tot en met 8.5. Herstart PHP na de update. Een firewall is geen vervanging.

Stappen om te patchen

Producten en stacks · Hostingplatforms en serverbeheerders

PHP2Shell in OVHcloud Web Hosting: getroffen en hoe op te lossen

De PHP-versie van OVHcloud Web Hosting controleren

Voer de opdracht voor uw opzet uit. Een versie vanaf 8.2.35, 8.3.36, 8.4.27 of 8.5.12 in de betreffende tak is gepatcht; oudere takken alleen met een leveranciersbuild die dat vermeldt.

php -v

De php op de opdrachtregel kan verschillen van de PHP die de site serveert. Controleer voor de zekerheid de web-SAPI (een tijdelijke phpinfo()-pagina achter een login, of de PHP-instellingen van het paneel) en verwijder die daarna. Onze versiecontrole vergelijkt het nummer voor u.

🔎 Versienummer gevonden? Plak het in de PHP2Shell-checker →

PHP2Shell in OVHcloud Web Hosting oplossen

  1. Zoek uit waar de PHP van deze applicatie vandaan komt: uw distributie, een externe repository (Ondřej Surý, Remi), een hostingpaneel, een Docker-image of uw hoster.
  2. Werk die PHP bij naar 8.2.35, 8.3.36, 8.4.27, 8.5.12 of een leveranciersbuild met de teruggezette fix en herstart alle PHP-workers.
  3. Op shared of managed hosting kunt u PHP niet zelf patchen: vraag de hoster of de gepatchte PHP is uitgerold en zet de site in het paneel op een gepatchte versie.
  4. Draait de site nog op PHP 8.1 of ouder, stap dan over op een ondersteunde tak; PHP publiceerde alleen bronpatches voor 7.4, 8.0 en 8.1.

Laat u de controle liever aan een AI-agent over? Controleren of u getroffen bent · Oplossen met een AI-agent

Als u nog niet kunt patchen

FAQ

Is OVHcloud Web Hosting getroffen door PHP2Shell?

Getroffen; er is alleen een fix voor sommige versies of onderdelen. Volgens de Web Cloud-statuspagina van OVHcloud waren alle PHP-releases van 7.4 tot 8.5 op 21 oktober om 17:53 UTC op alle Web Hosting-clusters gepatcht, en werd nog gewerkt aan oudere releases; OVHcloud zette ook WAF-regels voor alle clusters en paste sinds 21 oktober 08:00 UTC een workaround toe. Het onderhoud zou op 22 oktober om 11:18 UTC eindigen. Klanten met gedeelde Web Hosting krijgen de bijgewerkte PHP automatisch. Klanten met Bare Metal (Kimsufi, So you Start, Rise, Advance, Scale, High Grade) en VPS moeten PHP zelf bijwerken; de blog van OVHcloud geeft de stappen en meldt dat er voor releases onder 7.4 geen upstream-fix is.

Lost het bijwerken van OVHcloud Web Hosting zelf CVE-2026-109618 en CVE-2026-109619 op?

Alleen als de update gepatchte PHP bevat. PHP2Shell is een lek in de PHP-interpreter; het gaat om de PHP waarop OVHcloud Web Hosting draait. Controleer de versie na het bijwerken.

Welke PHP-versies lossen PHP2Shell op?

PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12, uitgebracht op 21 oktober 2026. PHP 8.1 en ouder krijgen geen release van het PHP-project; alleen leveranciersbuilds met backport (of een zelf gebouwde bronpatch voor 7.4, 8.0 en 8.1) lossen ze op.

Wat als er voor OVHcloud Web Hosting nog geen fix is?

Houd de PHP-webinterface van internet af (VPN of IP-allowlist), pas de tijdelijke PHP-instellingen toe zoals het uitschakelen van session upload progress, en installeer de update van de leverancier zodra die uitkomt. Tijdelijke instellingen verkleinen het risico, maar zijn geen fix.

← Alle producten met ingebouwde PHP

Zie ook: Oplossing per platform · Getroffen versies · Status leveranciers

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

Onofficiële samenvatting van openbare bronnen. Deze site is niet verbonden aan de leverancier of het PHP-project en host geen exploitcode.