Kort gezegd: Op servers met CloudLinux draaien websites vaak niet met de standaard-PHP, maar met alt-php: eigen pakketten per PHP-versie die klanten via de PHP Selector kiezen. Tegen PHP2Shell moet de serverbeheerder elke geïnstalleerde alt-php-versie afzonderlijk bijwerken en alle PHP-processen herstarten. Als hostingklant stelt u vast welke versie uw account gebruikt en laat u de patchstand daarvan schriftelijk bevestigen.
Waarom CloudLinux bij PHP2Shell een eigen vraag is
Veel shared-hostingaanbieders zetten CloudLinux in, een Linux-besturingssysteem dat duizenden klantaccounts op één server van elkaar scheidt. Voor websitebeheerders is dat meestal onzichtbaar. Zichtbaar wordt het pas wanneer een lek in de PHP-interpreter zelf opduikt, zoals bij PHP2Shell met CVE-2026-109618 en CVE-2026-109619.
De reden: op dergelijke servers bestaan vaak meerdere PHP-bronnen naast elkaar. Naast de PHP van het besturingssysteem en, bij cPanel, de ea-php-pakketten staan de alt-php-pakketten van CloudLinux. Elke bron heeft een eigen pakketstand. Dat er één gepatcht is, zegt niets over de andere.
Voor bureaus en bedrijven met meerdere accounts bij dezelfde hoster komt er een tweede punt bij: elke website kan een andere versie gebruiken, omdat iemand die jaren geleden in het klantenpaneel heeft omgezet. Eén enkele vraag naar "de PHP" van de hoster schiet daarom tekort. Zinvol is een lijst van alle domeinen met de telkens gekozen versie.
Wat alt-php en de PHP Selector zijn
Volgens de CloudLinux-documentatie stelt de PHP Selector alternatieve PHP-versies beschikbaar, de alt-php-pakketten. Ze staan onder /opt/alt/phpXX/, bijvoorbeeld /opt/alt/php83/ voor PHP 8.3, telkens met een eigen php.ini. De documentatie vermeldt versies van 5.1 tot 8.5, afhankelijk van de CloudLinux-versie van de server.
Klanten kiezen hun versie zelf, in cPanel meestal via “Select PHP Version”. Technisch vereist dat CageFS, een soort afgeschermd bestandssysteem per account. Volgens de documentatie werkt de Selector met suPHP, mod_fcgid, CGI en LiteSpeed; Apache met mod_php ondersteunt CageFS niet.
| Begrip | Betekenis voor u |
|---|---|
| CloudLinux | Besturingssysteem van de hoster, scheidt klantaccounts |
| CageFS | eigen, afgeschermd bestandssysteem per account |
| alt-php | PHP-pakketten van CloudLinux, één per versie |
| PHP Selector | Keuze van de alt-php-versie en afzonderlijke opties in het klantenpaneel |
CloudLinux alt-php en PHP2Shell: wat vaststaat en wat open blijft
Vast staat: gecorrigeerde PHP-versies zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder bestaan van het PHP-project geen officiële updates meer, alleen minimale bronbackports voor 7.4, 8.0 en 8.1. Volgens vakpers zijn bijna alle versies tot en met PHP 5.4 getroffen.
Open is in de ons beschikbare bronnen voor welke alt-php-versies CloudLinux al gepatchte pakketten uitlevert. Juist bij oude takken zoals 5.6 of 7.4, die de Selector blijft aanbieden, telt daarom uitsluitend de uitspraak van de aanbieder. Backports kunnen zijn ingespeeld zonder dat het getoonde versienummer verandert.
Een bijzonderheid betreft cPanel-servers met commerciële langetermijnondersteuning: volgens de cPanel-documentatie levert TuxCare, een merk van CloudLinux, gepatchte pakketten voor verlopen PHP-versies uit als alt-php. Wie daar van ea-php74 naar alt-php74 is omgezet, is op deze weg aangewezen. Meer daarover in het artikel Langetermijnondersteuning voor oude PHP-versies.
Deze vragen moet u uw hoster nu stellen
Als klant kunt u alt-php niet zelf patchen. U kunt wel de juiste vragen stellen en de antwoorden documenteren. Een kant-en-klaar sjabloon daarvoor biedt de gids De hoster naar de patchstatus vragen.
- Draait mijn account met alt-php, ea-php of de PHP van het besturingssysteem, en met welke versie precies?
- Is precies dit pakket gepatcht tegen CVE-2026-109618 en CVE-2026-109619, en sinds wanneer?
- Zijn daarna alle PHP-processen herstart, ook lsphp- en php-cgi-processen?
- Zijn de overbruggingswaarden van php.net centraal ingesteld, in het bijzonder
session.upload_progress.enabled=0? - Welke alt-php-versies worden niet meer gepatcht, en tot wanneer moet ik overstappen?
Controleer parallel welke versie uw account werkelijk gebruikt. Hebt u SSH-toegang, dan toont php -v de versie van de opdrachtregel, die van de website kan afwijken. Betrouwbaarder is de weergave in de PHP Selector voor het betreffende domein.
Antwoordt de hoster dat uw gekozen versie niet meer wordt gepatcht, dan is de overstap naar een ondersteunde tak de nette weg. Controleer vooraf in de systeemvereisten van uw CMS of webshop welke PHP-versies de fabrikant vrijgeeft, en test de overstap bij voorkeur op een kopie van de website. Omschakelen in de Selector is snel gedaan, een fout in de webshop op maandagochtend niet.
PHP-opties in de Selector: voorzichtig met de overbruggingswaarden
De PHP Selector staat klanten toe afzonderlijke php.ini-waarden zelf te wijzigen, waaronder vaak memory_limit. Welke waarden zijn vrijgegeven, bepaalt volgens de documentatie de beheerder, in het bestand /etc/cl.selector/php.conf. Globale waarden voor alle alt-php-versies staan in /etc/cl.selector/global_php.ini.
Dat is voor PHP2Shell belangrijk. php.net adviseert als overbrugging memory_limit=-1 zo in te stellen dat toepassingen de waarde niet kunnen overschrijven, en session.upload_progress.enabled=0 niet via ini_set() of .user.ini in te stellen. Een waarde die elk account vrij kan wijzigen, voldoet niet aan die voorwaarde. De achtergronden staan onder Noodmaatregelen zonder patch.
Voor serverbeheerders levert dat een korte controlelijst op. De opdrachten lezen alleen:
# Welke PHP-versies biedt de Selector aan, welke is standaard?
selectorctl --summary
# Geïnstalleerde alt-php-pakketten en hun stand
rpm -qa 'alt-php*' | sort
# Staan de CVE-nummers in de changelog van een pakket? (pakketnaam als voorbeeld)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Draaiende PHP-processen met starttijd, om de herstart aan te tonen
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Bijgewerkt wordt volgens de CloudLinux-documentatie met yum groupupdate alt-php. Daarna moeten alle PHP-processen herstarten, anders blijft de oude code in het geheugen draaien. Overbruggingswaarden die niet overschreven mogen worden, horen in de globale configuratie en niet in de lijst met klantopties. Hoe ea-php en alt-php zich op cPanel-servers tot elkaar verhouden, beschrijft cPanel en WHM: PHP beveiligen.
Een patch verwijdert geen malware die eerder is ingebracht. Draaide uw account tussen 17 en 21 oktober met een kwetsbare versie, dan loont een blik op nieuwe PHP-bestanden en de toegangslogs vanaf 20 oktober.
Hoe helpt PHP SOS concreet?
- Stand vaststellen: Wij stellen vast met welke PHP-bron en versie elk van uw websites draait, en formuleren de aanvraag aan de hoster.
- Antwoord beoordelen: Wij controleren de bevestiging van de hoster op hiaten, zoals ontbrekende gegevens over de herstart of over oude alt-php-takken.
- Overstap begeleiden: Draait een website op een versie zonder patch, dan plannen wij de overstap en testen wij die vooraf.
- Voor beheerders: Via de PHP-patchservice werken wij alt-php-, ea-php- en systeempakketten bij, herstarten wij alle processen en documenteren wij de stand.
Veelgestelde vragen
Hoe herken ik of mijn hoster CloudLinux en alt-php gebruikt?
Een typisch teken is de functie “Select PHP Version” in het cPanel-klantenpaneel, waarmee u zelf tussen veel PHP-versies kunt wisselen. Zeker weet u het pas wanneer de hoster het bevestigt.
Kan ik alt-php in mijn account zelf bijwerken?
Nee. De alt-php-pakketten staan centraal op de server en worden door de beheerder onderhouden. U kunt alleen kiezen tussen de geïnstalleerde versies en moet de patchstand van de gekozen versie laten bevestigen.
Is een oude alt-php-versie zoals 7.4 beschermd tegen PHP2Shell?
Zonder uitspraak van de aanbieder valt dat niet te zeggen. Volgens vakpers zijn bijna alle versies tot en met PHP 5.4 getroffen, en het PHP-project levert voor 8.1 en ouder geen officiële updates. Of er een backport is ingespeeld, moet de hoster voor precies uw versie schriftelijk bevestigen.
Mag ik memory_limit in de PHP Selector zelf wijzigen?
Technisch vaak wel, als de beheerder de instelling heeft vrijgegeven. php.net adviseert als overbruggingsmaatregel echter memory_limit zo in te stellen dat toepassingen de waarde niet kunnen overschrijven. Wijzig dergelijke waarden daarom alleen in overleg met de hoster.