PHP Lek 21-10-2026
Goedemiddag,
in vervolg op mijn eerdere bericht stuur ik een update.
Het lek is bekend
PHP heeft eindelijk de security advisories vrijgegeven, tegelijk met updates voor hun actuele versies. Wij hebben de hele dag gewerkt aan het beveiligen tegen bepaalde situaties, die inderdaad in de advisories genoemd werden. Onze monitors hebben ook correct gereageerd op de eerste aanvalspogingen op dat lek.
Het grootste deel van de advisories is niet van toepassing op de server-configuratie bij Spin in het Web, noch op de door ons beheerde servers.
En nu?
We wachten nog op de nieuwe PHP-versies. Deze zijn zojuist uitgebracht en het duurt nog even voor die via de distrbutie-repositories doordruppelen. Dit is door het bovenstaande geen halszaak meer.
PHP op de doe-het-zelf-server
Heb je een webruimtepakket van Spin in het Web Webruimte, dan kan het zijn dat deze nu onder een andere PHP-versie draait. Hier was PHP 8.0 om allerlei redenen nog de standaard, dat is nu PHP 8.3 geworden. We hebben een schifting gemaakt in de sites die de standaardinstelling van PHP-volgen:
- Draai je een courante versie van WordPress of Joomla, dan staat je pakket nog steeds op 'huidig' --> nu dus PHP 8.3
- Draai je een verouderde versie van WordPress of Joomla, of andere php-scripts, dan is je pakket vastgezet op de oude standaardversie: PHP 8.0. Wij gaan automatisch controleren welke pakketten mee kunnen naar 8.3, maar je kan dit ook handmatig instellen en uitproberen in de beheerwebsite (/spinweb).
Let op: we zijn bezig de webruimtepakketten (dus niet WP All-In) te migreren naar een nieuwe server. Om veiligheidsredenen zullen we daar sterk verouderde PHP-versies niet meer aanbieden. Als dit van toepassing is op jouw site, dan nemen we vanzelf contact met je op.
Aan onze kant is dit voor nu afgerond, hoewel we het natuurlijk goed in de gaten bljiven houden. Heb je vragen of opmerkingen, reageer dan gerust op dit bericht.
Hartelijke groet, Jelmer Jellema
Goedemiddag,
zoals je wellicht uit het nieuws hebt vernomen heeft PHP twee ernstige lekken in alle versies aangekondigd. PHP is de software onder onder meer WordPress en Joomla-sites. Men komt vanmiddag (woensdag 21-10) om 16:00 uur met technische details, maar er is al iets uitgelekt en de nationale en Europese CERT-instellingen hebben op basis van meer informatie een behoorlijk groot alarm afgegeven.
Wat is er aan de hand
Voor zover we nu weten is er een lek gevonden waarmee hackers en bots zich toegang tot de server kunnen verschaffen. Dit lek zit in de beginfase van een PHP-aanroep, nog voordat er überhaupt iets met programmacode gebeurt. Daardoor is het ook niet te stoppen met wijzigingen in een script, en slechts deels met wijzigingen in de configuratie van PHP zelf.
Wat heeft dit voor gevolgen
Als het lek live misbruikt wordt - en daar zijn de eerste tekenen van, kan je PHP-website (WordPress, Joomla, eigen scripts) toegang verschaffen tot de server. Voor zover we weten blijft dit wel beperkt tot je eigen pakket, omdat bij ons elke website onder een aparte user-account zonder toestemmingen draait.
Wat wordt eraan gedaan
PHP komt vanmiddag met patches voor in elk geval de actuele versies, dat wil zeggen 8.*. Onze software-repositories komen snel daarna ook met die aanpassingen, die wij direct zullen doorvoeren. Daarnaast zijn we bezig met extra bescherming aan te leggen op basis van wat we nu weten: andere instellingen van PHP en extra regels in de prescan-fase van een webverzoek (Dat zijn regels die nog voordat het verzoek echt wordt verwerkt besluiten of het wel valide is). Bovendien passen we onze software die het webverkeer 24/7 monitort aan om vreemd gedrag te detecteren.
Alle sites van WP All-In draaien op een actuele PHP, en ook onze webapplicaties zijn up to date. Bij Spin in het Web Webruimte (doe-het-zelf hosting) draaien nog wat applicaties op oude versies van PHP. Die houden we extra in de gaten. We zijn ook voor die versies van PHP patches aan het voorbereiden. Zodra de te maken wijzigingen in de actuele versies bekend zijn, zullen we die back porten naar de oude versies. Dit is echter een tijdrovend en precies karwei, waarvoor we geen inschatting kunnen afgeven.
Wat kan je zelf doen
Als je site bij ons in beheer is via WP All-In of applicatiebeheer hoef je niks te doen: wij houden het in de gaten. Bij doe-het-zelf kan je niet zoveel doen, omdat het lek niets met je code te maken heeft. Wel kan het zijn dat je vreemde zaken ziet, zoals veel verkeer, uitvallende onderdelen of snel vullende databases. Dat horen we dan graag via een mailtje naar de helpdesk of een reactie op dit bericht.
Deze situatie toont wel weer aan het belangrijk het is om je software up to date te houden. Heb je vragen over de overgang naar PHP 8, mail of bel dan met onze helpdesk, of reageer op dit bericht.
Noodsituaties
We verwachten dat we dit goed kunnen opvangen. Alleen in geval van nood zullen we harder moeten ingrijpen, bijvoorbeeld door sites met oude PHP-versies tijdelijk offline te halen. Nogmaals: ik denk niet dat dit gaat gebeuren, maar als je site even weg is weet je waarom.
We verwachten geen effect op de afhandeling van binnenkomende en uitgaande e-mail.
Ik hoop je hiermee van voldoende (zij het wat vage) informatie te hebben voorzien. Heb je vragen, reageer dan gerust op dit bericht.
Let op: deze informatie is volledig onder voorbehoud en gebaseerd op externe bronnen op basis van geruchten en uitgelekte informatie. We weten niet in hoeverre de informatie die we nu hebben klopt.
Hartelijke groet, Jelmer Jellema