Update 20:46

Inmiddels heeft Plesk ook updates uitgegeven voor PHP 7.4, PHP 8.0 en PHP 8.1.

PHP kwetsbaarheden

Zoals je wellicht weet is er een ernstig kwetsbaarheid gevonden in PHP. Deze kwetsbaarheid kan door kwaadwillenden worden misbruikt om schadelijke code uit te voeren op webservers. PHP heeft patches (beveiligingsupdates) uitgebracht voor PHP 8.2 en hoger om deze kwetsbaarheid te verhelpen. Deze zijn direct door ons bijgewerkt, dus als je PHP 8.2 of hoger gebruikt, ben je al beschermd.

Overige versies (zoals PHP 7.4, 8.0 en 8.1) worden niet meer geupdate door PHP zelf, omdat deze versies officieel het einde van hun ondersteuningsperiode hebben bereikt. Dit betekent dat PHP geen beveiligingsupdates meer uitbrengt voor deze oudere versies.

Updates voor oudere PHP-versies

Plesk heeft echter aangegeven voor PHP 7.4, 8.0 en 8.1 zelf updates te maken, ook al worden deze versies niet meer officieel ondersteund door PHP. Via andere kanalen zijn ook oudere versies tot en met 5.6 nog bij te werken. Er is echter geen timeline gegeven wanneer deze updates beschikbaar zijn.

Daarbij speelt mee dat door de patches op 8.2 en hoger kwaadwillenden ook meer inzicht hebben in wat er precies mis is met PHP. Door de beschikbare patches te analyseren kunnen zij namelijk achterhalen welke kwetsbaarheid is gedicht, waardoor ze deze kennis kunnen gebruiken om systemen met oudere, nog niet gepatche versies aan te vallen. Dit maakt het extra belangrijk om actie te ondernemen.

Zodra Plesk updates uitgebracht heeft voor de oudere versies zullen wij deze doorvoeren op onze servers. Je hoeft hier zelf niets voor te doen.

Wat moet je NU doen?

Voor PHP 8.1 of lager:

Optie 1: Zet je site(s) tijdelijk off-line (zie instructies hieronder)
Optie 2: Zet je site om naar PHP 8.2 of hoger, indien je site hierin werkt

We begrijpen dat het off-line halen van je site vervelend is, maar dit is een tijdelijke maatregel om je website en bezoekers te beschermen tegen mogelijke aanvallen.

Voor PHP 8.2 of hoger:
Je hoeft geen actie te ondernemen. Deze versies zijn al gepatcht en veilig.

Status updates

Op deze pagina lees je wanneer een versie geupdate is en je site weer on-line kan. We houden deze pagina actueel zodra er nieuwe informatie beschikbaar is.

Let op: Ondanks dat er gepatcht wordt op oudere versies adviseren wij dringend te zorgen dat je site zo snel mogelijk bijwerkt naar PHP 8.2 of hoger. Oudere PHP-versies worden immers niet meer actief onderhouden door PHP zelf, waardoor er in de toekomst opnieuw kwetsbaarheden kunnen ontstaan die niet meer worden gedicht. PHP 8.2 of hoger biedt niet alleen betere beveiliging, maar vaak ook betere prestaties en nieuwe functionaliteiten.

Veel gestelde vragen

Welke PHP versie draai ik?

Je kunt dit ook per domein bekijken:

Klik op je domeinnaam in het overzicht
Ga naar PHP-instellingen (onder het kopje 'Ontwikkeltools' of 'Instellingen')
Bovenaan zie je welke PHP-versie momenteel actief is

Hoe zet ik mijn site tijdelijk uit?

Stap 1: Log in op het Plesk adminpanel
Stap 2: Klik op het domein dat je wilt uitschakelen
Stap 3: Naast de domeinnaam zie je onder het kopje Status de tekst 'Active' staan
Stap 4: Klik op 'Active' en wijzig dit in 'Suspended'

Let op: Gebruik NIET de optie 'Disabled', want dan werkt je e-mail niet meer! Bij 'Suspended' blijven je e-mailadressen gewoon functioneren, alleen de website zelf is tijdelijk niet bereikbaar. Bezoekers zien dan een melding dat de site tijdelijk niet beschikbaar is.

Hoe wissel ik naar PHP 8.2 of hoger?

Als je site compatibel is met PHP 8.2 of hoger, kun je deze omzetten:

Stap 1: Log in op het Plesk adminpanel
Stap 2: Klik op je domeinnaam
Stap 3: Ga naar PHP-instellingen
Stap 4: Selecteer bij 'PHP-versie' de optie 8.2 of 8.3
Stap 5: Klik op OK of Toepassen

Let op: Test je website grondig na het omzetten naar een nieuwere PHP-versie. Sommige oudere plugins, thema's of scripts kunnen incompatibel zijn met nieuwere PHP-versies. Als je site niet meer goed werkt, kun je altijd terugschakelen naar de vorige versie (maar houd dan wel in gedachten dat je kwetsbaar blijft).

Tip voor WordPress-gebruikers: Zorg dat je WordPress-installatie, alle plugins en je thema up-to-date zijn voordat je naar PHP 8.2 overschakelt. Verouderde plugins zijn vaak de oorzaak van compatibiliteitsproblemen.

Moet ik me zorgen maken over datalekken?

Er zijn geen aanwijzingen dat de kwetsbaarheid ook daadwerkelijk actief gebruikt werd voordat deze bekend werd gemaakt. Dat betekent dat de kans klein is dat er al gegevens zijn uitgelekt via deze specifieke kwetsbaarheid.

Bovendien blokkeert onze WAF (Web Application Firewall - een speciale applicatie firewall die kwaadaardig webverkeer detecteert en blokkeert) verdachte verzoeken, ook van deze kwetsbaarheid. Deze extra beveiligingslaag biedt bescherming, zelfs voor niet-gepatche systemen. De WAF analyseert al het inkomende verkeer en blokkeert aanvallen die passen bij bekende aanvalspatronen.

Desondanks adviseren we je alert te blijven en je website te controleren op ongebruikelijke activiteit. Als je een webshop hebt of gevoelige klantgegevens opslaat, is extra voorzichtigheid geboden.

Welke besluiten hebben jullie genomen nadat deze kwetsbaarheid bekend werd?

We hebben diverse bronnen gevolgd om in te schatten of er sprake was van een direct gevaar. Daarbij hebben we onder andere gekeken naar:

Officiële berichten van PHP
Security bulletins van Plesk
Updates van onze WAF-leverancier
Beveiligingsnieuws uit de hosting-industrie
Rapporten over actief misbruik van de kwetsbaarheid

Doordat de makers van de beveiligingssoftware welke wij gebruiken al vroeg aangaven de benodigde regels te hebben geupdate en omdat er geen aanwijzingen waren dat de kwetsbaarheid actief misbruikt werd, hebben we geen drastische maatregelen zoals het off-line halen van alle sites ondernomen. We wilden voorkomen dat duizenden websites onnodig offline zouden gaan als de daadwerkelijke dreiging beperkt was.

Klanten met webshops en sites waarin klantgegevens worden opgeslagen hebben we wel het advies gegeven om tijdelijk off-line te gaan totdat hun PHP-versie gepatcht is. Dit hebben we gedaan omdat bij deze type websites de impact van een eventueel datalek veel groter is. Denk hierbij aan:

Webshops met klantgegevens en betaalinformatie
Websites met inlogfunctionaliteit en persoonlijke gebruikersgegevens
Sites met gevoelige bedrijfsinformatie
Portalen waar documenten worden geüpload of beheerd

We blijven de situatie nauwlettend monitoren en zullen deze pagina bijwerken zodra er nieuwe ontwikkelingen zijn. Mocht de situatie verslechteren, dan zullen we proactief contact met je opnemen.