NederHost - Meldingsgeschiedenis

Inmiddels zijn patches met de bijgewerkte versienummers van PHP zelf geïnstalleerd. Deze versies zijn functioneel identiek aan de eerder geïnstalleerde versies maar zullen vanwege het hogere versienummer door externe scanners die de X-Powered-By header bekijken niet als kwetsbaar worden aangemerkt.

Alle PHP-versies op het webhostingplatform zijn nu bijgewerkt naar een gepatchte versie. Let op: het betreft door CloudLinux gepatchte versies wat betekent dat het versienummer van PHP zelf (nog) niet omhoog is gegaan. Hierdoor lijkt het of er nog kwetsbare versies van PHP draaien. U kunt een eventuele melding hierover negeren. Ook in de PHP-versies die deze update niet van de PHP-ontwikkelaars krijgen (zoals pHP 5.6 en 7.0) is de kwetsbaarheid verholpen.

We gaan de mitigaties die zijn toegepast op de webhostingomgeving zodadelijk ongedaan maken, wat betekent dat eventuele beperkingen nu voorbij zijn, met dank voor uw geduld.

We wachten nog steeds op de juiste patches van onze softwareleverancier (CloudLinux). Het patchen duurt lang, waarschijnlijk omdat de update eerder naar buiten is gebracht dan oorspronkelijk gepland, en de updates zelf lopen ook traag ivm de grote drukte.

De PHP-ontwikkelaars hebben de patches gepubliceerd en ook meer informatie gegeven over de twee kwetsbaarheden. Uit een eerste analyse lijkt het dat websites bij NederHost alleen kwetsbaar zijn via applicatie-specifieke codepaden en dat de exploit die rondgaat waarschijnlijk niet rechtstreeks kan worden toegepast. De door de PHP-ontwikkelaars voorgestelde mitigaties zijn zojuist toegepast; deze bieden beperkt bescherming.

Op dit moment wachten we op updates van onze software-leverancier; zodra die beschikbaar zijn worden deze geïnstalleerd.

Voor websites die draaien op PHP-versies ouder dan 8.2 kan gelden dat we genoodzaakt zijn deze (tijdelijk) te upgraden naar PHP 8.2. Dit kan betekenen dat deze websites niet meer volledig functioneren. Dit is een tijdelijke maatregel die we ongedaan maken zodra de fixes zijn gebackport naar oudere versies.

Als tijdelijke mitigatie worden requests met een 'multipart' content-type header nu geweigerd voor alle websites. Dit zou in ieder geval de exploit die reeds rond gaat moeten blokkeren. Het gevolg hiervan kan zijn dat sommige formulieren (zeker met file uploads) niet meer werken.

De reden om deze mitigatie nu toe te passen is dat we zien dat zeer veel (grote) websites, waaronder overheid.nl, ncsc.nl en diverse mediabedrijven, er reeds voor hebben gekozen helemaal down te gaan. De afweging die nu wordt gemaakt is dat het herstellen van de schade op een bepaald moment niet meer opweegt tegen het online houden van websites.

dbadmin.nederhost.nl is weer beschikbaar op een nieuwe PHP-versie.