Update woensdag 21 oktober, 18.30 uur: De beveiligingsupdate van PHP is op alle omgevingen die wij beheren geïnstalleerd. Alle tijdelijke maatregelen zijn opgeheven. De kwetsbaarheden zijn verholpen en websites werken weer zoals gebruikelijk. Klanten hoeven zelf niets te doen.

Update woensdag 21 oktober, 16.30 uur: de beveiligingsupdate van PHP is beschikbaar. We zijn begonnen met het installeren van de update op alle omgevingen die wij beheren.

PHP bevestigde op dinsdag 20 oktober twee kritieke kwetsbaarheden. Op alle hostingomgevingen die wij beheren hebben we daarom op woensdag 21 oktober tijdelijke voorzorgsmaatregelen genomen. In vaktermen heten dit mitigaties: maatregelen die het risico beperken totdat de echte oplossing beschikbaar is. Concreet blokkeerden we tijdelijk verzoeken van het type multipart/form-data op onze NGINX-webservers. De structurele oplossing was de beveiligingsupdate van PHP. Zodra die op een omgeving was geïnstalleerd en gecontroleerd, hebben we de mitigaties daar weer weggehaald.

Waarom we niet wachtten op de update

De beveiligingsupdate van PHP werd woensdag 21 oktober om 16.00 uur verwacht. Omdat de kwetsbaarheden al eerder publiek bekend waren, wilden we het risico tot dat moment zo klein mogelijk houden. Door multipart/form-data-verzoeken al op de webserver tegen te houden, bereikten ze PHP niet en beperkten we de mogelijkheden voor misbruik.

Wat klanten merkten van de mitigaties

Websites bleven in principe gewoon bereikbaar voor bezoekers. Functies die gebruikmaken van multipart/form-data-verzoeken werkten tijdelijk niet, zoals het uploaden van afbeeldingen en documenten in WordPress en het versturen van bepaalde formulieren. Deze verzoeken kregen een foutmelding met statuscode 403. Sinds de mitigaties zijn verwijderd, werkt dit weer zoals voorheen.

Hoe we de update hebben uitgevoerd

We hebben de update per omgeving geïnstalleerd en daarna gecontroleerd of alles goed werkte. Voor websites die online bleven, hebben we daarna de mitigaties verwijderd en de klant per mail laten weten dat de werkzaamheden waren afgerond.

Websites die offline zijn gehaald

Sommige organisaties kozen ervoor hun website tijdelijk volledig offline te halen tot de update was geïnstalleerd. Door de mitigaties die we hadden genomen, zagen wij daar voor onze omgevingen geen noodzaak voor. Op verzoek van een aantal opdrachtgevers hebben we hun website wel tijdelijk offline gehaald. Na het installeren van de update hebben we deze klanten om akkoord gevraagd en de website daarna weer online gezet.

Merk je toch iets ongebruikelijks op?

Heb je vragen of merk je iets ongebruikelijks op je website? Neem contact op met je vaste contactpersoon bij Level Level of met ons supportteam.