English

Follow-up: PHP's own advisory (GHSA-6wmf-4rv5-p3rp) recommends keeping PHP's upload progress feature (session.upload_progress) disabled when it is not needed: it is rarely used, which makes it an attractive target. In addition, the patched releases PHP 8.5.12 and 8.4.27 contain a new, still open bug (php-src #24493) where an upload with upload progress can wipe a user's session and log them out.

We are therefore keeping this feature disabled on our shared hosting. Normal file uploads keep working as usual; only server-side upload progress bars are affected. If you run your own server, we recommend doing the same after patching.

Nederlands

Aanvulling: PHP's eigen advisory (GHSA-6wmf-4rv5-p3rp) raadt aan de upload-voortgangsfunctie van PHP (session.upload_progress) uitgeschakeld te laten als u die niet nodig heeft: de functie wordt weinig gebruikt en is daardoor een aantrekkelijk doelwit. Daarnaast bevatten de gepatchte releases PHP 8.5.12 en 8.4.27 een nieuwe, nog openstaande bug (php-src #24493) waardoor een upload met upload-voortgang de sessie van een gebruiker kan wissen, zodat die wordt uitgelogd.

Daarom houden we deze functie op onze gedeelde hosting uitgeschakeld. Gewone bestandsuploads werken gewoon; alleen upload-voortgangsbalken aan de serverkant werken niet. Draait u een eigen server, dan raden we aan na het patchen hetzelfde te doen.

English

Resolved: All affected PlanetNode systems, including our shared web hosting server www01-ams and the billing environment, have been updated or secured against CVE-2026-109618 / CVE-2026-109619. The temporary measures have been lifted and file uploads work normally again. No signs of exploitation have been found. Thank you for your patience.

Nederlands

Opgelost: Alle getroffen PlanetNode-systemen, waaronder onze gedeelde webhostingserver www01-ams en de facturatieomgeving, zijn bijgewerkt of beveiligd tegen CVE-2026-109618 / CVE-2026-109619. De tijdelijke maatregelen zijn opgeheven en bestandsuploads werken weer normaal. We hebben geen sporen van misbruik gevonden. Bedankt voor uw geduld.

English

Update: The patched PHP packages have been installed on our shared web hosting server www01-ams. All PHP versions on this server now include the fix for CVE-2026-109618 / CVE-2026-109619. We have lifted the temporary measures there, so file uploads work normally again.

We are rolling out the same update across our other web hosting servers. The temporary measures stay in place on each server until its update is installed and verified.

No signs of exploitation have been found.

Nederlands

Update: De gepatchte PHP-pakketten zijn geïnstalleerd op onze gedeelde webhostingserver www01-ams. Alle PHP-versies op deze server bevatten nu de fix voor CVE-2026-109618 / CVE-2026-109619. We hebben de tijdelijke maatregelen daar opgeheven, dus bestandsuploads werken weer normaal.

We rollen dezelfde update uit op onze andere webhostingservers. Op elke server blijven de tijdelijke maatregelen van kracht tot de update daar is geïnstalleerd en gecontroleerd.

We hebben geen sporen van misbruik gevonden.

English

Update: CloudLinux has now published the patched PHP packages for CVE-2026-109618 / CVE-2026-109619. Our internal package mirror is currently retrieving them. As soon as that is complete, we will install the update across our web hosting servers. We expect to do this shortly.

Until then, the temporary measures on these servers remain in place: file uploads stay blocked and PHP's upload progress feature stays disabled. Once the update is installed and verified on a server, we will lift these measures there and post an update here.

No signs of exploitation have been found.

Nederlands

Update: CloudLinux heeft de gepatchte PHP-pakketten voor CVE-2026-109618 / CVE-2026-109619 inmiddels gepubliceerd. Onze interne pakketmirror haalt ze op dit moment op. Zodra dat klaar is, installeren we de update op al onze webhostingservers. We verwachten dit binnenkort te doen.

Tot die tijd blijven de tijdelijke maatregelen op deze servers van kracht: bestandsuploads blijven geblokkeerd en de upload-voortgangsfunctie van PHP blijft uitgeschakeld. Zodra de update op een server is geïnstalleerd en gecontroleerd, heffen we daar de maatregelen op en melden we het hier.

We hebben geen sporen van misbruik gevonden.

English

Update: The PHP updates for CVE-2026-109618 / CVE-2026-109619 are now installed on most of our platform. The PlanetNode website, status page, billing environment and our application servers run the patched PHP versions, and file uploads and support tickets via the website work normally again there.

On our shared web hosting server (www01-ams) we have completed the operating system update and prepared everything for the PHP update, but our control panel vendor (CloudLinux) has not yet published the patched PHP packages. Until those are available, the temporary measures remain in place on this server: file uploads stay blocked and PHP's upload progress feature stays disabled. We will install the update as soon as it is released and post an update here.

The game panel remains protected by the temporary measures and will be moved to a new, fully supported server.

No signs of exploitation have been found.

Nederlands

Update: De PHP-updates voor CVE-2026-109618 / CVE-2026-109619 zijn inmiddels op het grootste deel van ons platform geïnstalleerd. De PlanetNode-website, de statuspagina, de facturatieomgeving en onze applicatieservers draaien de gepatchte PHP-versies. Bestandsuploads en supporttickets via de website werken daar weer normaal.

Op onze gedeelde webhostingserver (www01-ams) hebben we de update van het besturingssysteem afgerond en alles klaargezet voor de PHP-update, maar onze leverancier van het controlepaneel (CloudLinux) heeft de gepatchte PHP-pakketten nog niet gepubliceerd. Tot die beschikbaar zijn, blijven de tijdelijke maatregelen op deze server van kracht: bestandsuploads blijven geblokkeerd en de upload-voortgangsfunctie van PHP blijft uitgeschakeld. We installeren de update zodra die verschijnt en melden het hier.

Het gamepanel blijft beschermd door de tijdelijke maatregelen en wordt verhuisd naar een nieuwe, volledig ondersteunde server.

We hebben geen sporen van misbruik gevonden.

English

Support tickets can be submitted and answered via the website again, and domain registrations are working again. The billing environment is fully updated and its temporary restrictions have been lifted.

Our shared hosting server www01-ams is still waiting for PHP updates from our vendors. Until those are installed, file uploads on websites hosted there remain temporarily blocked. We will post another update once that server is updated.

Nederlands

Supporttickets kunnen weer via de website worden aangemaakt en beantwoord, en domeinregistraties werken weer. De billingomgeving is volledig bijgewerkt en de tijdelijke beperkingen daar zijn opgeheven.

Onze shared-hostingserver www01-ams wacht nog op PHP-updates van onze leveranciers. Tot die geïnstalleerd zijn, blijven uploads van bestanden op websites die daar draaien tijdelijk geblokkeerd. We plaatsen een nieuwe update zodra die server is bijgewerkt.

English

Domain registrations are working again. Our domain registry partner's API was also affected by this PHP vulnerability and was temporarily unavailable; it is reachable again, so changes to domains (such as nameservers, contact details and transfers) can be made again.

Support tickets still cannot be submitted or answered via the website for now. Please email us at support@planetnode.net. We will post another update once this works again.

Nederlands

Domeinregistraties werken weer. De API van onze partner voor domeinregistraties was ook door dit PHP-lek geraakt en tijdelijk niet beschikbaar; die is weer bereikbaar, dus wijzigingen aan domeinen (zoals nameservers, contactgegevens en verhuizingen) zijn weer mogelijk.

Supporttickets kunnen voorlopig nog niet via de website worden aangemaakt of beantwoord. Mail ons op support@planetnode.net. We plaatsen een nieuwe update zodra dit weer werkt.

English

We started installing the PHP updates immediately after the release of the new versions. The PlanetNode website, status page and billing environment have been updated; for our web hosting servers we are rolling out the updates as our vendors (CloudLinux, DirectAdmin, Plesk) release them.

We are now lifting the temporary restrictions (such as the block on file uploads) for websites whose PHP version is fully up to date. Websites on a PHP version that is end-of-life (PHP 8.1 or older) may keep the restrictions, because no update will be released for those versions. We recommend switching to PHP 8.3 or newer; please contact us if you need help.

No signs of exploitation have been found.

Nederlands

We zijn direct na het verschijnen van de nieuwe PHP-versies begonnen met het installeren van de updates. De PlanetNode-website, de statuspagina en de facturatieomgeving zijn bijgewerkt; op onze webhostingservers rollen we de updates uit zodra onze leveranciers (CloudLinux, DirectAdmin, Plesk) ze beschikbaar stellen.

Voor websites waarvan de PHP-versie volledig is bijgewerkt, heffen we nu de tijdelijke beperkingen op (zoals de blokkade van bestandsuploads). Websites op een PHP-versie die niet meer wordt ondersteund (PHP 8.1 of ouder) kunnen de beperkingen houden, omdat voor die versies geen update meer verschijnt. We adviseren over te stappen op PHP 8.3 of nieuwer; neem contact met ons op als u daarbij hulp wilt.

We hebben geen sporen van misbruik gevonden.

English

The PHP project has released fixed versions: PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35. They fix two critical vulnerabilities that can allow unauthenticated remote code execution:

• CVE-2026-109618: RCE via out-of-memory corruption (GHSA-w8hw-w9fx-j79w)
• CVE-2026-109619: RCE via stale global state (GHSA-6wmf-4rv5-p3rp)

All PHP installations that serve web requests are affected (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). PHP 8.1 and older no longer receive updates from the PHP project.

We are now checking per server whether updated packages are available and will install them as soon as possible. Until a server has been updated, the temporary measures stay in place: file uploads remain blocked and PHP's upload progress feature stays disabled. We will post an update here once the updates are installed and the restrictions are lifted.

Websites on PHP 8.1 or older will not receive an update. We recommend switching to PHP 8.3 or newer; please contact us if you need help.

Source: php.net

Nederlands

PHP heeft gepatchte versies uitgebracht: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Ze verhelpen twee kritieke kwetsbaarheden waarmee een aanvaller zonder in te loggen code kan uitvoeren:

• CVE-2026-109618: RCE via out-of-memory-corruptie (GHSA-w8hw-w9fx-j79w)
• CVE-2026-109619: RCE via achtergebleven globale status (GHSA-6wmf-4rv5-p3rp)

Alle PHP-installaties die webverzoeken afhandelen zijn getroffen (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). PHP 8.1 en ouder krijgen geen updates meer van het PHP-project.

We controleren nu per server of er bijgewerkte pakketten beschikbaar zijn en installeren die zo snel mogelijk. Tot een server is bijgewerkt, blijven de tijdelijke maatregelen van kracht: bestandsuploads blijven geblokkeerd en de upload-voortgangsfunctie van PHP blijft uitgeschakeld. Zodra de updates zijn geïnstalleerd en de beperkingen zijn opgeheven, melden we dat hier.

Websites op PHP 8.1 of ouder krijgen geen update. We adviseren over te stappen op PHP 8.3 of nieuwer; neem contact met ons op als u daarbij hulp wilt.

Bron: php.net

English

A critical security vulnerability in PHP has been disclosed: CVE-2026-109618 / CVE-2026-109619. It allows an unauthenticated attacker to potentially execute code via specially crafted multipart/form-data requests. The PHP project will release a fix today, 21 October at 14:00 UTC (16:00 CEST).

As a precaution, we have blocked multipart/form-data requests on our web hosting servers and platform, and disabled PHP's session upload progress feature. Websites remain online, but file uploads do not work for now. This includes media uploads in WordPress and web shops, forms with attachments and webmail attachments. In the customer portal, support tickets cannot be submitted or answered via the website; please email us instead. We found no signs of exploitation.

We will install the PHP updates as soon as they are available and lift the restrictions once all servers are patched. We will post updates here.

Nederlands

Er is een ernstig beveiligingslek in PHP bekend geworden: CVE-2026-109618 / CVE-2026-109619. Een aanvaller kan daarmee mogelijk zonder in te loggen code uitvoeren via speciaal opgestelde multipart/form-data-verzoeken. PHP brengt vandaag, 21 oktober om 16:00 uur (14:00 UTC), een update uit.

Uit voorzorg blokkeren we multipart/form-data-verzoeken op onze webhostingservers en ons platform, en hebben we de upload-voortgangsfunctie van PHP uitgeschakeld. Websites blijven online, maar bestandsuploads werken voorlopig niet. Denk aan media-uploads in WordPress en webshops, formulieren met bijlagen en bijlagen in webmail. In het klantenportaal kunnen supporttickets niet via de website worden aangemaakt of beantwoord; mail ons in plaats daarvan. We hebben geen sporen van misbruik gevonden.

We installeren de PHP-updates zodra ze beschikbaar zijn en heffen de beperkingen op zodra alle servers gepatcht zijn. Updates volgen hier.