(Is dit bericht niet goed leesbaar? Bekijk dan de online versie.)

Op woensdag 28 oktober 2026 is een spoedupdate aan de Hosting&Streaming alpine, supercronic, nginx en php-fpm images uitgevoerd, in verband met kwetsbaarheden in onderliggende libraries en tools die mogelijk kunnen leiden tot remote code execution.

Het betreft CVE-2026-92392 en CVE-2026-92392

In tegenstelling tot eerdere php spoedupdates betreft dit niet een update aan PHP of nginx zelf, maar aan andere onderdelen die zich ook in het image bevinden. In dit geval de brotli (de)compressie library en de versie van curl die ook in het image zitten. Het kan zijn dat php applicatie code brotli en/of curl gebruikt en dat er langs die weg een kwetsbaarheid ontstaat. Omdat dezelfde libraries ook in de base (alpine), supercronic en nginx images zitten, zijn deze ook ge-update.

We raden afnemers aan om een roll-out van deze nieuwe versies te doen.

E.e.a. met dank aan de NTR die ons opmerkzaam maakte op dit probleem. Wij gaan kijken wat we aan onze interne monitoring kunnen doen om dit een volgende keer zelf eerder in de gaten te hebben.

Vetgedrukte items zijn geüpdate.

Bovenstaande tags zijn vanaf woensdag 28 oktober beschikbaar.

Team Hosting&Streaming is gedurende al het onderhoud via de normale kanalen bereikbaar. Zie de contact pagina.