PHP is inmiddels op alle managed servers bijgewerkt, inclusief de managed Plesk-servers met verouderde PHP-versies. Hiermee zijn de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 op alle managed servers verholpen en zijn alle servers weer volledig beschikbaar. Wij danken u voor uw geduld en begrip. Heeft u nog vragen? Mail dan naar support@fundaments.nl of maak een ticket aan via https://support.fundaments.nl.
Posted Oct 22, 2026 - 10:46 CEST
Monitoring
PHP is inmiddels op alle managed servers bijgewerkt en deze servers zijn weer volledig beschikbaar. Voor de updates geldt één uitzondering: verouderde PHP-versies (7.4 tot en met 8.1) op managed Plesk-servers. Deze werken wij bij zodra de updates vanuit de leverancier beschikbaar zijn, en wij houden u hierover op de hoogte. Heeft u vragen? Mail dan naar support@fundaments.nl of maak een ticket aan via https://support.fundaments.nl.
Posted Oct 21, 2026 - 21:39 CEST
Update
Wij zijn nog bezig met het updaten van de managed servers waarop PHP is geïnstalleerd. Dit verloopt gestaag, maar voor de beschikbaarheid van de updates zijn wij afhankelijk van externe repositories. Zodra de update op uw omgeving is geïnstalleerd, maken wij uw managed server weer beschikbaar voor webverkeer vanaf het internet. Wij werken deze statusmelding bij zodra er nieuwe informatie is.
Posted Oct 21, 2026 - 19:52 CEST
Update
Op dit moment zijn alle Plesk servers bijgewerkt en deze hebben de mitigerende patch ontvangen voor de volgende PHP versies: PHP 8.2 (8.2.35), 8.3 (8.3.36), 8.4 (8.4.27) and 8.5 (8.5.12).
Alle domeinen op Plesk (!) Servers met de bovenstaande versies zijn weer live! Voor alle andere Plesk PHP versies is nog geen patch beschikbaar. Deze versies hebben wij disabled op uw servers. Domeinen met lagere versies zijn dus nog offline.
Voor de non-Plesk Managed Servers zijn wij nog druk aan het werk.
Posted Oct 21, 2026 - 18:38 CEST
Identified
De PHP-update die de kwetsbaarheden verhelpt is beschikbaar. Wij zijn op dit moment bezig met het updaten van de betreffende servers. Zodra de update op uw omgeving is geïnstalleerd, maken wij uw server weer beschikbaar voor webverkeer vanaf het internet. Wij werken deze statusmelding bij zodra alle servers zijn bijgewerkt.
Posted Oct 21, 2026 - 17:02 CEST
Update
Vanwege twee kritieke kwetsbaarheden in PHP, CVE-2026-109618 en CVE-2026-109619, hebben wij aanvullende maatregelen genomen voor servers waarop PHP is geïnstalleerd. Er is op dit moment nog geen gepatchte versie van PHP beschikbaar. Om misbruik te voorkomen hebben wij webverkeer vanaf het internet naar deze servers onmogelijk gemaakt.
Wat betekent dit voor u?
Webverkeer (poort 80 en 443) vanaf het internet naar uw server is niet langer mogelijk. Wel bieden we de mogelijkheid voor specifieke IP-adressen webverkeer wel toe te laten. Hiervoor is het nodig dat u contact opneemt met uw klantteam via support@fundaments.nl of https://support.fundaments.nl. Vermeld daarbij om welke omgeving het gaat en welke IP-adressen toegang moeten krijgen.
Wanneer wordt de toegang hersteld?
Zodra er een update van PHP beschikbaar is die deze kwetsbaarheden verhelpt, installeren wij deze op uw omgeving. Daarna herstellen wij het webverkeer vanaf het internet. Wij werken deze statusmelding bij zodra er nieuwe informatie is. Onze excuses voor het ongemak. Deze maatregel is nodig om uw omgeving en gegevens te beschermen.
Wilt u dat wij de toegang per direct herstellen?
Dit raden wij ten zeerste af. Het is mogelijk om webverkeer voor specifieke IP-adressen toe te laten (zie hierboven). Wilt u echter dat we webverkeer voor het hele interne openzetten, dan kan dat dat alleen door dit expliciet per e-mail bij ons te melden. Wij vragen u dan expliciet om toestemming te geven dit verkeer weer open te zetten. Let op: dit is tegen ons (dringende) advies in, waarmee wij ook geen verantwoordelijkheid kunnen nemen voor eventueel (gevolg)schade die hieruit voortvloeit.
Posted Oct 21, 2026 - 14:24 CEST
Update
Alle Managed Servers die door Fundaments beheerd worden zijn bij deze voorzien van een mitigerende maatregel voor één van de twee kwetsbaarheden. Dit is gedaan door 'session.upload_progress.enabled' op elke server waar php op draait op 'Off' te zetten.
Wij blijven de situatie scherp in de gaten houden.
Posted Oct 21, 2026 - 11:29 CEST
Update
We are continuing to investigate this issue.
Posted Oct 21, 2026 - 09:59 CEST
Investigating
De PHP Group heeft kenbaar gemaakt dat er een kritieke kwetsbaarheid is ontdekt in vrijwel elke PHP versie. Zij verwachten hier vandaag einde middag een patch voor te kunnen releasen.
Fundaments zorgt ervoor dat alles aan onze kant paraat staat om deze fix zo spoedig mogelijk te deployen op alle betreffende Managed Servers die bij ons in beheer zijn. De volgende PHP branches zullen een patch krijgen: 8.2 8.3 8.4 8.5
Elke andere PHP versie is end of life en ontvangt geen patches meer. Indien u IaaS klant bent bij Fundaments raden wij u sterk aan om hier ook voorbereidingen voor te treffen, en indien er nog een PHP versie actief is die hierboven niet genoemd is, deze met enige spoed te upgraden.
Posted Oct 21, 2026 - 09:46 CEST
This incident affected: Fundaments Infrastructure as a Service (vCloud AM2, vCloud EN1, vCloud IX7, vCloud PDC2) and Managed Services (Managed Cloud).