Wat is er gebeurd?
Op 20 oktober maakten onderzoekers twee ernstige beveiligingslekken in PHP bekend (CVE-2026-109618 en CVE-2026-109619). PHP is de software waar een groot deel van alle websites en webapplicaties op draait, waaronder WordPress. Via deze lekken konden kwaadwillenden in sommige gevallen eigen code uitvoeren op de server waarop een website of webapplicatie draait. Het probleem zit in PHP zelf, niet bij een specifieke hostingpartij. Websites die PHP gebruiken, kunnen dus wereldwijd en bij elke hoster kwetsbaar zijn.
Wat hebben wij gedaan?
We hebben niet gewacht tot de officiële update er was. Zodra de lekken bekend werden, hebben we een aantal instellingen op ons hostingplatform tijdelijk uitgeschakeld om de kans op misbruik te verkleinen. Daarnaast hebben we ons eigen platform en onze eigen systemen, waaronder mijn.hostnet.nl, continu getest met de aanvalsmethoden die online verschenen, en hielden we het verkeer naar onze servers nauwlettend in de gaten op verdachte activiteit. Zo konden we het klantportaal Mijn Hostnet met zo min mogelijk risico online houden. Daardoor hielden onze klanten de mogelijkheid om zelf te beslissen of ze hun website tijdelijk offline wilden halen.
Direct nadat de officiële update beschikbaar kwam, hebben we die op ons Shared Hosting- en Managed VPS-platform uitgerold. De lekken zijn daarmee gedicht. Hiervoor was kort onderhoud nodig, waardoor websites tijdelijk onbereikbaar konden zijn. Dank voor je begrip daarvoor.
Is je PHP-versie veranderd?
Nee. We hebben de beveiligingsupdate geïnstalleerd op de PHP-versie die je al gebruikte. We hebben je website niet automatisch overgezet naar een andere PHP-versie. Dat is belangrijk, want een andere PHP-versie kan problemen geven met je website, thema, plug-ins of eigen code. Je website draait dus precies zoals je gewend bent, alleen veiliger.
Ook oudere PHP-versies beschermd met PHP Extended Support.
De officiële update van PHP is alleen beschikbaar voor de nieuwste versies (8.2 en hoger). Oudere versies krijgen van PHP zelf geen beveiligingsupdates meer. Websites op een oudere PHP-versie draaien bij ons met PHP Extended Support. Ook voor die versies hebben we de beveiligingsupdate doorgevoerd. Je hoeft niets te doen en hoeft niet halsoverkop over te stappen naar een nieuwere versie.
Heb je een Unmanaged VPS?
Dan beheer je de software op je server zelf. We raden je dringend aan om PHP zo snel mogelijk bij te werken naar de nieuwste versie. Ook als je PHP niet zelf hebt geïnstalleerd, is het verstandig om te controleren of software op je server PHP gebruikt.
Onze klantenservice.
We doen altijd ons best om goed bereikbaar te zijn. In een situatie als deze krijgen we in korte tijd zoveel vragen binnen dat dat niet altijd lukt. Daarom hadden we de chat tijdelijk gesloten. Zo konden we alle binnenkomende tickets sneller beoordelen en de meest urgente vragen als eerste oppakken.
Vanaf donderdag 22 oktober zijn we weer via alle kanalen bereikbaar. Het is nog wel erg druk, dus het kan wat langer duren dan je van ons gewend bent voordat je antwoord krijgt. Dank voor je geduld.
Hoe nu verder?
Veiligheid staat bij ons altijd voorop. Je moet erop kunnen vertrouwen dat je website, je e-mail en je gegevens bij ons goed beschermd zijn, zodat jij je kunt richten op je onderneming. Daarom houden we onze systemen continu up-to-date en grijpen we direct in als het nodig is. Dank voor je vertrouwen en je geduld.