Security advisory · Updated 21 October 2026, 17:30 CEST
Customer websites restored. Our control panels stay closed for now.
Latest update, 17:30 CEST
All customer websites we had taken offline are back online. For many of our servers, we are waiting for updated packages from upstream, which are still being built. Until they are available and installed, our own applications and websites, hosting management and virtualisation management stay offline. Active mitigations with our partners stay in place across the PeaceWeb network.
A critical vulnerability has been disclosed in PHP (CVE-2026-109618 and CVE-2026-109619). As a precaution, we closed all control panels under PeaceWeb management and temporarily took some customer websites offline. All customer websites are back online. The customer portal, hosting management, virtualisation management and some of our own applications and websites stay closed for now, because the updated packages for these systems are still being built upstream. Signing in, ordering and making changes are therefore still not possible.
Current status
| Customer websites and services | Online · All back online |
|---|---|
| Customer portal, hosting and virtualisation management | Closed · Awaiting updated packages from upstream |
| Some of our own applications and websites | Offline · Until they are patched |
Was your website offline?
It is back online. We did not change its content or data; only incoming traffic was switched off. Does it still show "temporarily offline"? Reload the page or clear your browser cache. Still unreachable? Email support@peaceweb.com with "Urgent" in the subject.
Do you need to act?
- PeaceWeb manages PHP for you
- No action needed. We patch our systems as the updates become available, starting with systems that are reachable from the internet. Your websites are back online.
- You run critical software that only we manage
- Contact us. If you have no access to it yourself, we can take the application offline as a precaution until it is patched. Email us as described below.
- You manage PHP yourself or use a cloud server
- Act now. You are responsible for PHP on servers you manage. Take internet-facing PHP offline or behind a VPN until you can patch, and check for signs of compromise.
Recommended actions
For websites, applications and cloud servers where you manage PHP yourself.
- Make an impact analysis. List every website, application and cloud server that runs PHP, with its version.
- Limit exposure now. Until a fix is installed, take internet-facing PHP offline or put it behind a VPN or IP allow list, critical systems first.
- Patch as soon as a fix is available. Install the fixed version for your PHP version as soon as it is available. Start with systems that are reachable from the internet.
- Upgrade PHP 8.1 and older. These may not receive a fix. Upgrade, or keep them offline or behind a VPN.
- Check for compromise. Patching alone is not enough: a system may have been attacked before it was patched. Look for unknown files, new cron jobs or accounts, or PHP starting sh, curl or wget. If in doubt, isolate the server and contact us.
Guides
Step-by-step help for websites, applications and servers where you manage PHP yourself.
- Am I affected? → Find out which of your websites, applications and servers run PHP, and which version.
- Patch PHP → Install the fixed version, restart PHP and check that the new version is running.
- Limit exposure → Temporary measures for systems you can't patch yet: offline, IP allow list, VPN or firewall.
- Check for compromise → What to look for, commands to search with, and what to do if you find something.
- Frequently asked questions → Answers to the questions we get most about this advisory.
Why we act now
The vulnerability lets an attacker run their own code on a server through PHP. That is why it is rated critical (CVSS v4.0 9.2).
Not every system can be patched yet. Until every system is patched, unpatched systems remain at risk.
Our control panels are reachable from the internet and manage the services of many customers. Keeping them closed until they are patched is a small price compared with the risk of an attacker getting in that way.
For the same reason, we temporarily took some customer websites offline: they run on shared parts of our platform, so a successful attack on one of them could affect other customers. They are all back online.
What could the impact be?
On a system that runs a vulnerable PHP version and is reachable from the internet, an attacker could:
- read, change or delete website files and databases, including customer data
- steal passwords, API keys and other secrets from configuration files
- install a backdoor or malware, such as a crypto miner or spam script, that stays after patching
- use the server to attack other systems or to send phishing
- through a control panel, reach the services of many customers at once
For you, this means that signing in, ordering and making changes are still not possible for now. Your websites and services are online.
About the vulnerabilities
| Vulnerabilities | CVE-2026-109618, CVE-2026-109619 |
|---|---|
| Type | Remote code execution in PHP |
| Severity | Critical (CVSS v4.0 9.2) |
| Fix | Applied where available; the remaining packages are still being built upstream |
The fix must be applied to PHP itself, not in application code. The affected and fixed versions are published with the release. We update this page as the situation changes. Official announcement on php.net
Questions or critical software?
Email support@peaceweb.com from the email address of your account, with "Urgent" in the subject if you want a critical application taken offline, or if your website is still unreachable. Before we take anything offline, we call you back on the phone number we have on file to confirm. Response times may be longer than usual.
Email supportNederlandse vertaling
Klantwebsites hersteld. Onze controlepanelen blijven voorlopig gesloten.
Laatste update, 17:30 uur: Alle klantwebsites die we offline hadden gehaald, zijn weer online. Voor veel van onze servers wachten we op bijgewerkte pakketten van upstream, die nog worden gebouwd. Tot die beschikbaar en geïnstalleerd zijn, blijven onze eigen applicaties en websites, het hostingbeheer en het virtualisatiebeheer offline. Actieve mitigaties met onze partners blijven ingeschakeld op het hele PeaceWeb-netwerk.
Er is een kritieke kwetsbaarheid bekendgemaakt in PHP (CVE-2026-109618 en CVE-2026-109619). Uit voorzorg hebben we alle controlepanelen onder beheer van PeaceWeb gesloten en sommige klantwebsites tijdelijk offline gehaald. Alle klantwebsites zijn weer online. Het klantportaal, het hostingbeheer, het virtualisatiebeheer en een deel van onze eigen applicaties en websites blijven voorlopig gesloten, omdat de bijgewerkte pakketten voor deze systemen upstream nog worden gebouwd. Inloggen, bestellen en wijzigingen doorvoeren kan daarom nog niet.
Was uw website offline?
Die is weer online. We hebben de inhoud en gegevens niet gewijzigd; alleen het inkomende verkeer stond uit. Ziet u nog "tijdelijk offline"? Herlaad de pagina of leeg de cache van uw browser. Nog steeds niet bereikbaar? Mail naar support@peaceweb.com met "Spoed" in het onderwerp.
Moet u iets doen?
- PeaceWeb beheert PHP voor u. U hoeft niets te doen. We patchen onze systemen zodra de updates beschikbaar komen, te beginnen bij systemen die vanaf internet bereikbaar zijn. Uw websites zijn weer online.
- U draait kritieke software die alleen wij beheren. Heeft u er zelf geen toegang toe? Dan kunnen wij de applicatie uit voorzorg offline halen tot die gepatcht is. Mail ons zoals hieronder beschreven.
- U beheert zelf PHP of gebruikt een cloudserver. Kom nu in actie. U bent zelf verantwoordelijk voor PHP op servers die u beheert. Haal PHP dat vanaf internet bereikbaar is offline of zet het achter een VPN tot u kunt patchen, en controleer op sporen van misbruik.
Aanbevolen acties
- Maak een impactanalyse. Breng elke website, applicatie en cloudserver met PHP in kaart, inclusief de versie.
- Beperk de blootstelling nu. Haal PHP dat vanaf internet bereikbaar is offline tot er een oplossing is geïnstalleerd, of zet het achter een VPN of IP-allowlist. Kritieke systemen eerst.
- Patch zodra er een oplossing is. Installeer de gepatchte versie voor uw PHP-versie zodra die beschikbaar is. Begin met systemen die vanaf internet bereikbaar zijn.
- Werk PHP 8.1 en ouder bij. Deze krijgen mogelijk geen oplossing. Werk bij, of houd ze offline of achter een VPN.
- Controleer op misbruik. Patchen alleen is niet genoeg: een systeem kan al zijn aangevallen voordat het gepatcht werd. Let op onbekende bestanden, nieuwe cronjobs of accounts, of PHP dat sh, curl of wget start. Twijfelt u? Isoleer de server en neem contact met ons op.
Handleidingen (in het Engels, met een Nederlandse samenvatting bovenaan):
Waarom we nu al ingrijpen
Via deze kwetsbaarheid kan een aanvaller eigen code uitvoeren op een server met PHP. Daarom is hij als kritiek beoordeeld (CVSS v4.0 9.2).
Nog niet elk systeem kan al worden gepatcht. Tot elk systeem gepatcht is, lopen ongepatchte systemen risico.
Onze controlepanelen zijn vanaf internet bereikbaar en beheren de diensten van veel klanten. Ze gesloten houden tot ze gepatcht zijn, is een kleine prijs vergeleken met het risico dat een aanvaller via die weg binnenkomt.
Om dezelfde reden hebben we sommige klantwebsites tijdelijk offline gehaald: ze draaien op gedeelde onderdelen van ons platform, dus een geslaagde aanval op één ervan kan andere klanten raken. Ze zijn allemaal weer online.
Wat zou de impact kunnen zijn?
Op een systeem met een kwetsbare PHP-versie dat vanaf internet bereikbaar is, zou een aanvaller kunnen:
- websitebestanden en databases inzien, wijzigen of verwijderen, inclusief klantgegevens
- wachtwoorden, API-sleutels en andere geheimen uit configuratiebestanden stelen
- een achterdeur of malware installeren, zoals een cryptominer of spamscript, die ook na het patchen blijft
- de server gebruiken om andere systemen aan te vallen of phishing te versturen
- via een controlepaneel bij de diensten van veel klanten tegelijk komen
Voor u betekent dit dat inloggen, bestellen en wijzigingen doorvoeren voorlopig nog niet kan. Uw websites en diensten zijn online.
De oplossing moet in PHP zelf worden doorgevoerd, niet in de code van uw applicatie. Waar updates beschikbaar zijn, hebben we die doorgevoerd; de resterende pakketten worden upstream nog gebouwd. We werken deze pagina bij zodra de situatie verandert.
Vragen, wilt u een kritieke applicatie uit voorzorg offline laten halen, of is uw website nog steeds niet bereikbaar? Mail naar support@peaceweb.com vanaf het e-mailadres van uw account, met "Spoed" in het onderwerp. Voordat we iets offline halen, bellen we u terug op het telefoonnummer dat bij ons bekend is. Reacties kunnen langer duren dan normaal.
Team PeaceWeb