Er is een ernstig beveiligingslek in PHP gemeld: de software waarmee heel veel websites draaien. Hieronder in gewone taal wat dat betekende en wat Exedo heeft gedaan.
Update — officiële patch uitgerold
De makers van PHP hebben een securityupdate uitgebracht die de fouten in PHP zelf herstelt. Die patch staat inmiddels op onze hosting (inclusief test- en productieservers).
Wat is die patch? Het is geen extra plug-in of “antivirus”, maar een nieuwe versie van de PHP-software op de server. De kwetsbare code is daarin vervangen door een veilige versie.
Waarom is dit de definitieve oplossing? Onze eerdere maatregel sloot de bekende misbruikroute — sites bleven online en beschermd. De officiële patch verwijdert de onderliggende fout uit PHP. Daarmee is het probleem bij de bron opgelost, niet alleen afgeschermd. Dat is wat in de branche als afronding geldt.
In het kort
PHP zit op de server, onder uw website. Bij dit soort lekken kan een aanvaller in het ergste geval de server overnemen — niet omdat er iets mis is met uw content of een plug-in, maar door een fout in die basislaag.
Verschillende partijen raadden aan om websites tijdelijk offline te zetten. Dat deden wij niet: eerst een gerichte maatregel, daarna zo snel mogelijk de officiële patch.
Voor onze klanten
- U hoeft niets te doen aan uw website of wachtwoorden.
- Uw sites bleven en blijven online.
- De bekende misbruikroute is afgesloten; de officiële PHP-securitypatch staat erop.
Vragen? Bel 010 22 66 400 of mail via contact.
Wat wij hebben gedaan
- Misbruikroute dicht — op serverniveau de bekende weg geblokkeerd waarmee dit lek werd misbruikt. Sites bleven werken; u wijzigde niets.
- Opschalen klaar, niet nodig geweest — onderhoudspagina klaar voor noodgevallen. Offline zetten was niet nodig.
- Officiële PHP-patch uitgerold — de securityrelease van de PHP-makers is op onze servers geïnstalleerd. Dat herstelt de fout in de software zelf en is de definitieve oplossing.
Waarom wij zo kunnen handelen
Exedo beheert de servers zelf. Daardoor konden we een tijdelijke blokkade snel zetten, controleren of die werkte, en de definitieve patch doorvoeren zonder onnodige vertraging of downtime. Veel grotere partijen hebben meer tijd nodig voor dezelfde stappen — vandaar berichten over sites die tijdelijk offline gingen. Dat is bij ons niet de standaardreactie.
Technische toelichting
Het ging om kritieke fouten in PHP zelf (in rapportages o.a. CVE-2026-109618 en CVE-2026-109619), met remote code execution als ernstigste scenario. Exacte exploit-details herhalen we hier niet.
Relevant voor hosting: wie PHP aanbiedt, moet op serverniveau handelen. Klanten met een site bij Exedo hoeven zelf niets te wijzigen.