We zijn begonnen met het uitrollen van de eerste PHP-updates op onze systemen. De webmail is inmiddels weer bereikbaar.

Eerder vandaag hebben we al meerdere maatregelen genomen om de impact op websites bij Antagonist te beperken. Zo hebben we de functie session.upload_progress van PHP tijdelijk uitgeschakeld om misbruik van CVE-2026-109619 te voorkomen. Hierdoor tonen sommige websites mogelijk geen voortgangsbalk bij het uploaden van bestanden. Daarnaast maakt ons platform gebruik van containerisatie en cgroups, wat de kans op misbruik van CVE-2026-109618 verkleint.

Een deel van de updates voeren we op dit moment al door. Voor de overige systemen is de nieuwe PHP-versie nog niet uitgebracht. Zodra die beschikbaar is, werken we ook deze systemen bij, inclusief de PHP-versies met PHP Extended Support. Tijdens dit korte onderhoud kunnen websites enkele minuten niet bereikbaar zijn. Daarna schakelen we session.upload_progress weer in en trekken we de tijdelijke maatregelen in.

Zodra er meer informatie is, plaatsen we een nieuwe update.

---

21 oktober 2026, 16:04

We hebben een wijziging uitgevoerd op al onze systemen wat de kans op misbruik van het lek in PHP verkleint. Een deel van het lek maakt gebruik van de session.upload_progress functionaliteit van PHP. We hebben deze functionaliteit met deze wijziging daarom tijdelijk preventief uitgeschakeld. Hierdoor kan het mogelijk zijn dat websites geen voortgangsbalkje laten zien bij het uploaden van bestanden.

We verwachten dat de makers van PHP snel een update uit zullen brengen. Zodra de update vanuit PHP beschikbaar is voeren we verder kort onderhoud uit, waarbij websites mogelijk een paar minuten niet bereikbaar zijn. Ook de tijdelijke maatregelen zullen we dan weer intrekken. Je hoeft zelf niets te doen. Wanneer er hierover meer informatie is plaatsen we een nieuwe update.

---

21 oktober 2026, 14:20

We zijn bezig met het uitrollen van een wijziging aan PHP die de kans op misbruik verkleint. Het kan zijn dat tijdens deze uitrol websites hierdoor even trager reageren. Het gaat dan om enkele minuten tot maximaal tien minuten. We beperken dit uiteraard tot een minimum.

Een deel van het lek maakt gebruik van de session.upload_progress functionaliteit van PHP. We hebben deze functionaliteit met deze wijziging daarom tijdelijk preventief uitgeschakeld. Hierdoor kan het mogelijk zijn dat websites geen voortgangsbalkje laten zien bij het uploaden van bestanden.

Zodra de update vanuit PHP beschikbaar is voeren we verder kort onderhoud uit, waarbij websites mogelijk een paar minuten niet bereikbaar zijn. Je hoeft zelf niets te doen. Wanneer er hierover meer informatie is plaatsen we een nieuwe update.

---

21 oktober 2026, 12:06

Van toepassing op: PHP op alle servers en phpMyAdmin

---

We zijn op de hoogte van een aangekondigd kritiek beveiligingsupdate voor PHP en volgen de situatie op de voet. Er is op dit moment geen misbruik bekend van het achterliggende lek in PHP (CVE-2026-109618 & CVE-2026-109619). We zorgen ervoor dat de update zo spoedig mogelijk op onze systemen worden uitgerold zodra deze beschikbaar is.

Zodra de update vanuit PHP beschikbaar is voeren we kort onderhoud uit, waarbij websites mogelijk een paar minuten niet bereikbaar zijn. Je hoeft zelf niets te doen. Wanneer er hierover meer informatie is plaatsen we een nieuwe update.

---

21 oktober 2026, 11:03