Zo controleer je of je zelfgehoste apps een kwetsbare PHP-versie gebruiken

Eva Wong

IceWhale author

Eva Wong is de Technisch Schrijver en en vaste knutselaar bij ZimaSpace. Een levenslange geek met een passie voor homelabs en open-source software, zij is gespecialiseerd in het vertalen van complexe technische concepten naar toegankelijke, praktische handleidingen. Eva gelooft dat zelf-hosting leuk moet zijn, niet intimiderend. Met haar tutorials stelt ze de community in staat om hardware-setup te ontrafelen, van het bouwen van hun eerste NAS tot het beheersen van Docker-containers.

Conceptual guide: CHECK THE RUNNING PHP. Identify service; Inspect runtime; Verify vendor fix.

Op een host kunnen meerdere PHP-versies tegelijk draaien. De versie die een SSH-shell weergeeft, kan bij een opdrachtregelprogramma horen, terwijl een openbare website een andere runtime gebruikt. Koppel voor de beoordeling van de PHP-kwetsbaarheden van oktober 2026 elk versieresultaat aan een daadwerkelijke toepassing en service.

Controleer de omgeving waarin de toepassing draait, niet alleen de PHP-versie van de opdrachtregel op de host. Vergelijk de exacte runtimeversie of revisie van het distributiepakket met het toepasselijke beveiligingsadvies en houd rekening met gedocumenteerde backports van de leverancier. Verwijder na de controle eventuele tijdelijke diagnostische pagina's.

1. Identificeer toepassingen die op PHP draaien

Maak een lijst van toepassingen, installatiemethoden en externe toegangswegen. Raadpleeg de documentatie of pakketmetadata van de toepassing om vast te stellen of deze PHP gebruikt. Neem ook aanvullende services, zoals cron-taken en wachtrijen, mee als ze dezelfde toepassingsimage gebruiken.

Leid niet uit het NAS-merk af of PHP wordt gebruikt. Een apparaat waarop verschillende toepassingen draaien, moet per service worden beoordeeld.

2. Controleer een Compose-implementatie

docker compose ps
docker compose images
docker compose exec -T app php -v
docker compose exec -T app php --ini

Voer deze opdrachten uit vanuit de bedoelde projectmap van Compose; vervang app door de service waarin PHP draait. De opdrachten geven een overzicht van de huidige containers en controleren het binaire bestand in die service. Als PHP in een afzonderlijke service php of fpm draait, controleer dan die service.

Een ontbrekend uitvoerbaar bestand php bewijst niet dat de toepassing veilig is. Voor minimale images, alternatieve binaire paden of afzonderlijke runtimeservices kan de inspectiemethode van de beheerder nodig zijn. Installeer geen pakketten in een productiecontainer alleen om een versiecontrole uit te voeren.

3. Controleer de op de host geïnstalleerde PHP

command -v php
php -v
php --ini

Dit beschrijft de PHP-versie van de shell. Bekijk vervolgens de webserverconfiguratie en servicemanager om te bepalen welke PHP-FPM-pool, Apache-module of andere handler de site bedient. Controleer de pakketversie en het beveiligingsadvies van de leverancier voor dat onderdeel. PHP vermeldt dat configuratielocaties en gedrag per serverinterface verschillen.

Als een dashboard privégegevens over de runtime van de daadwerkelijke webservice toont, kan dat de inventaris aanvullen. Laat geen openbare phpinfo()-pagina online staan; die kan informatie onthullen die niet relevant is voor de controle.

4. Vergelijk het bewijs met het beveiligingsadvies

Voor het incident van 21 oktober zijn de upstream-beveiligingsreleases PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Een latere ondersteunde release binnen dezelfde branch kan deze oplossingen bevatten. Als een distributie beveiligingspatches backport, raadpleeg dan de pakketversie en het beveiligingsadvies van die distributie, in plaats van een pakket alleen op basis van het ogenschijnlijk upstream-versienummer af te wijzen of goed te keuren.

Registreer een resultaat als een van drie statussen: bevestigd opgelost, bevestigd getroffen of onopgelost in afwachting van bewijs van de leverancier. Stel voor software die niet meer wordt ondersteund een upgrade naar een ondersteunde versie of een expliciete oplossing van een leverancier die de software onderhoudt vast. Een onopgelost resultaat moet zichtbaar blijven in uw onderhoudslijst.

5. Controleer wat er na de update gebeurt

Voer na de implementatie dezelfde controles opnieuw uit, ook voor afzonderlijke workers en containers. Noteer de image-ID of pakketversie en de herstartstatus. Test een normale geverifieerde aanvraag en de functies die uw huishouden daadwerkelijk gebruikt.

Bewaar dit overzicht op een ZimaCube 2 Personal Cloud samen met de appconfiguratie en back-upinstructies. Het nuttige resultaat is een traceerbare verklaring zoals ‘deze applicatie gebruikt deze runtime met beveiligingspatches’, en niet ‘de NAS is bijgewerkt’. Als u een getroffen container aantreft, raadpleeg dan de gekoppelde updatehandleiding voordat u de gegevensvolumes wijzigt.

Ontdek ZimaCube 2 Personal Cloud Home-NAS voor uw privéopslag en configuratie van zelfgehoste applicaties. De softwarebeveiliging hangt af van de geïnstalleerde services, hun configuratie en geverifieerde updates.

Lees verder in de PHP-beveiligingsreeks

Bronnen en reikwijdte

Gecontroleerd op 22 oktober 2026. Implementatieadvies moet worden afgestemd op uw applicatie en de documentatie van de leverancier; deze artikelen stellen geen blootstelling aan specifieke producten vast.