Shared & managed hosting

PHP2Shell bij shared en managed hosting

Beheert iemand anders je server, dan moet die de gepatchte PHP installeren. Jouw taak: kies de nieuwste PHP-versie voor je site, controleer de exacte versie en laat je host bevestigen.

Laatst gecontroleerd 2026-10-22

De status van providers verandert per uur

We vermelden alleen wat providers publiek hebben gezegd. Staat je host er niet bij, dan betekent dat niet dat hij ongepatcht is — vraag het na.

Wat te doen

  1. Schakel je site over naar de nieuwste PHP-versie die je panel aanbiedt (8.4 of 8.5 als die er is; test de site daarna).
  2. Controleer de exacte versie die de site draait — in je CMS (WordPress, Drupal, Joomla) of met het bestand hieronder — en plak die in de checker.
  3. Vraag je host de patch en de herstart van de workers te bevestigen, met het bericht hieronder.
  4. Geen gepatchte build beschikbaar? Vraag ook bij PHP 8.1 of ouder naar vendor-backports; isoleer blootgestelde diensten tot ze gepatcht zijn en plan migratie.
php
<?php
// Save as v-<random>.php in your web root, open it in a browser, then DELETE it.
echo PHP_VERSION, ' ', PHP_SAPI, PHP_EOL;

Waar je van PHP-versie wisselt

PanelWaarHoe PHP wordt gepatcht
cPanelSoftware → MultiPHP Manager (of Select PHP Version op CloudLinux)ea-phpXY- / alt-phpXY-pakketten; cPanel zei vóór de release updates voor ea-php74 – ea-php85 uit te rollen zodra upstream klaar was (nog niet bevestigd).
PleskWebsites & Domains → PHP (PHP-instellingen)plesk-phpXY-handlers, bijgewerkt via de Plesk-installer. Op de releasedag vroegen klanten op het Plesk-forum nog naar een tijdpad.
DirectAdminAccount Manager → PHP-versiekeuze (als de host die heeft ingeschakeld)Builds via CustomBuild; de host moet PHP opnieuw bouwen.
CloudLinux (achter veel hosts)Select PHP Versionalt-php-builds; CloudLinux zei na de upstream-release gepatchte pakketten te publiceren.
hPanel (Hostinger) en andere eigen panelsMeestal Geavanceerd → PHP-configuratieCentraal gepatcht door de host.

Serverbeheerders van deze panels: de commando’s staan in de patchgids (tabbladen cPanel en Plesk).

Bericht voor je hostingprovider

e-mail aan je hostingprovider
Onderwerp: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — patchstatus

Hallo,

Kunnen jullie bevestigen dat de PHP-runtime waarop mijn site(s) <domein>
draaien is bijgewerkt naar een release die CVE-2026-109618 en
CVE-2026-109619 oplost (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 of een
leveranciersbuild met de backport), en dat de PHP-FPM- / LSAPI-workers
daarna zijn herstart?

Als mijn account op PHP 8.1 of ouder draait: naar welke gepatchte versie
kan ik overstappen?

Met vriendelijke groet

Vragen

Kan ik PHP zelf patchen op shared hosting?+

Nee. De host beheert de PHP-binaries. Je kunt je site in het panel naar een nieuwere PHP-versie overzetten, maar de gepatchte builds moet de host installeren.

Mijn host biedt alleen PHP 8.1 of ouder. Wat nu?+

Vraag of ze een door de leverancier gebackporte build leveren (CloudLinux en sommige panels doen dat). Zo niet, dan kan die host je niet tegen PHP2Shell beschermen — plan een overstap en zet in de tussentijd een WAF zoals Cloudflare ervoor.

Lost PHP 8.4 kiezen in cPanel het op?+

Alleen als de host de gepatchte 8.4-build heeft geïnstalleerd (8.4.27 of een backport). Een branch kiezen werkt die niet bij. Controleer na het overschakelen de exacte versie.

Gerelateerd