Plugin

In dit artikel blikken we terug. Wat hebben we gedaan, welke keuzes hebben we gemaakt, en waarom hebben we onze servers niet offline gehaald, terwijl andere hosters dat wel deden? Alle updates zoals we ze die dagen publiceerden, staan in ons eerdere artikel over het lek. Wil je de techniek tot op de configuratieregel, met versies, commando's en hoe je een PHP-build zelf controleert? Lees dan onze technische deepdive.

Wat er aan de hand was

Het ging om CVE-2026-109618 en CVE-2026-109619. De fouten zitten in de manier waarop PHP uploads verwerkt, in het onderdeel session.upload_progress. Dat gebeurt nog voordat de code van een website aan de beurt is. Een plugin of beveiligingsplugin in je site houdt zo'n aanval dus niet tegen^[1].

De update stond gepland voor woensdag 21 oktober om 16:00 uur. Normaal blijven de details tot dat moment geheim. Dit keer gingen er kort na de aankondiging al technische details en een aanvalstool rond. Wachten tot 16:00 uur was dus geen optie: vóór de update moest er al iets gebeuren.

Draai je een webwinkel, klantportaal of ander softwarepakket met persoonsgegevens of klantdata? Weeg dan zelf af of je die tot de update van het internet haalt. Het Europese CERT-EU adviseert hetzelfde: overweeg applicaties die vanaf internet bereikbaar zijn af te schermen tot er een fix is^[5].

Let op: een onderhoudsmodus in WordPress of een andere plugin beschermt hier niet, want die draait zelf ook op PHP. Scherm je site daarom af voordat PHP aan de beurt is, bijvoorbeeld door in je .htaccess alleen je eigen IP-adres toe te laten. Wil je hulp daarbij? Neem contact met ons op.

Hoe het begon

Op 20 oktober kondigde het PHP-securityteam een beveiligingsrelease aan voor twee kritieke kwetsbaarheden, allebei met een CVSS v4.0-score van 9,2. Online staan ze inmiddels bekend als PHP2Shell. De release verscheen op 21 oktober om 14:00 UTC, 16:00 uur Nederlandse tijd. Welke versies geraakt waren en welke de fix bevatten, publiceerde php.net pas bij de release zelf^[1].

Daarvoor hebben we KeurigOnline skills gemaakt: open-source skills voor Claude Code, Codex, Cursor en elke andere agent die het SKILL.md-formaat ondersteunt. Installeren is één commando. Daarna zeg je gewoon: publiceer dit op mijn KeurigOnline-pakket.

Zo werkt het

1. Installeer de skill. In Claude Code: /plugin marketplace add KeurigOnline/keurigonline-skills gevolgd door /plugin install keurigonline@keurigonline. Voor Codex, Cursor en andere agents: npx skills add KeurigOnline/keurigonline-skills.
2. Zeg wat je wilt. Bijvoorbeeld: "Publiceer deze site op mijn KeurigOnline-pakket. Gebruikersnaam janjansen, server cl08.keurigonline.nl, domein example.nl." Gebruikersnaam en servernaam staan in je welkomstmail.