Wacht. No bullshit zei je? Mitigaties? Session upload progress?
Mijn excuses, ik was vroeger een nerd en dat draag je mee de rest van je leven. Ik verklaar me even.
- De variabele upload_progress was een van de configuratiewijzigingen die onze mitigatie inhield.
- Een mitigatie is een tijdelijke fix. Als je weet wat het probleem is maar je kan het nog niet oplossen, moet je ervoor zorgen dat het risico beperkt wordt. Vergelijk het met een gat in de weg, zoals we in België wel kennen. In afwachting van de herstelling, zetten we een stevige afsluiting rond het gat.
- De update of de patch is de definitieve fix. De herstelling van het wegdek.
Bon. Het is woensdagmiddag en we hebben de mitigaties toegepast op basis van de gelekte info 's nachts. Maar intussen is het wereldnieuws en worden de geruchten dat de tijdelijke fixes onvoldoende zullen zijn. De spanning stijgt, wat gaan we doen?
Voor de eerste keer in ons bestaan hebben we samen met veel van onze klanten de conclusie gemaakt dat het gecontroleerd offline zetten van websites de beste optie was. Ongezien in de meer dan 20 jaar dat we bestaan!
Dus het ondenkbare wordt ineens de realiteit. We zetten duizenden websites offline.
Gelukkig hebben we niet in spanning moeten wachten tot stipt 16:00 want een half uur eerder de hele brok aan informatie beschikbaar. Inclusief de aangepaste broncode, enkele duizenden lijnen code. Dit is niet 1 kleine bug, het is een fix voor een probleem dat al jaren bestond en waaraan PHP wellicht al maanden aan het werken is.
Op dat moment kunnen wij wel verder.
Is de mitigatie die we 's morgens hebben toegepast doeltreffend genoeg?
Ja. Was dit het enige probleem dat gepatched moest worden? Nee.
In de release zat nog een extra bug, eentje die een oplossing bracht voor een out of memory corruption, nummer CVE-2026-109618. Het goede nieuws voor ons was: onze bestaande beveiligslaag op iedere server was al een groot stuk van de mitigatie. De resterende elementen waren snel te deployen.
Rond 17:00 waren we er wel uit. Ons team had voldoende bewijs dat onze mitigaties voldoende doeltreffend waren. Dat wil niet zeggen dat alle systemen al voorzien zijn van de definitieve fixes. Want wat je ook beweert, een beveiligingsupdate uitrollen op duizenden systemen is niet gebeurd op 1 minuut. Onze bullshit detector op LinkedIn hebben we eventjes moeten afzetten...
In elk geval waren de uren na 16:00 goed gevuld. Intensief overleggen met klanten over de voor- en nadelen van online gaan of niet. Manieren zoeken om oude PHP-versies toch te fixen. Samen met webbouwers kijken om websites naar nieuwe versies te krijgen, zodat ze toch werken met de nieuwste PHP updates.
De rest van de avond hebben we besteed aan het installeren van de officiële updates op duizenden servers. Ook op oude servers, ook op oude websites. Geen inspanning was te veel, we laten niemand achter.
