Een PHP-scanner meldt soms een oude versie na een update omdat de zichtbare versie en het bewijs van een geïnstalleerde fix verschillende gegevens zijn.
Je hebt een update laten uitvoeren en draait opnieuw een controle. Toch verschijnt dezelfde waarschuwing. Dat is een goede reden om de uitkomst met je beheerder te bespreken.
Vraag eerst welk gegeven de scanner heeft gelezen. Vergelijk daarna de meting met het bewijs voor de uitgevoerde wijziging. Sluit de melding pas als duidelijk is wat beide resultaten betekenen.
Maak een kopie van de melding met de datum en het onderzochte domeinEen domeinnaam is het webadres waarmee bezoekers jouw website vinden, zoals jouwbedrijf.example.. Noteer welke scanner je gebruikte. Geef die informatie aan de beheerder, samen met zijn eerdere bevestiging van de update.
Zo kan hij gericht beoordelen of de controle en de wijziging over dezelfde website gaan.
Een oude basis kan een teruggezette fix krijgen
Bij een backportEen backport is een oplossing uit een nieuwe versie van software die ook in een oudere versie wordt gezet, zodat je die niet hoeft te vervangen. wordt een reparatie naar een oudere versie teruggezet. Onze feitenbron vermeldt dat sommige distributies en LTS-leveranciers eigen gepatchte versies leveren. Het bestaan van zulke versies is geen bewijs voor jouw installatie.
Vraag daarom welke uitgave je beheerder gebruikt en welke documentatie daarbij hoort.
Een distributie kan het oorspronkelijke PHP-versienummer houden bij een gepatcht pakket. Daardoor kan een controle die die versie ziet, de installatie nog als oud tonen. Vraag om de volledige pakketgegevens om verder te komen.
Het is niet genoeg om alleen te zeggen dat scanners dit vaker melden; je wilt weten wat op jouw server is vastgesteld.
Laat de beheerder ook bevestigen dat de genoemde installatie jouw domein bedient. Bewaar die bevestiging met de datum van de update. Een algemene uitleg over backports maakt de waarschuwing begrijpelijk, maar sluit je eigen onderzoek niet af.
Daarvoor heb je een antwoord nodig dat verwijst naar deze site en deze pakketuitgave.
Wat de Exposure Check wel leest
Welke PHP-versie meldt jouw site?
Passieve check van headers, versie en de kop van de homepage. Geen login, geen scan.
Voor de PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. leest de Exposure Check wat je website openbaar in headers meestuurt. Headers zijn gegevens die bij het antwoord van je site horen. De term X-Powered-ByX-Powered-By is een regel die jouw server meestuurt en waarin staat met welke software, en vaak welke versie, je website werkt. legt een van die mogelijke vermeldingen uit.
De check vraagt geen beheertoegang en leest de pakketadministratie van je server niet.
Daarom kan een gepatchte server in de check nog een oude versie tonen. Gebruik de uitkomst als begin van een gesprek met je beheerder. Vraag welke openbare versie is gezien en welk pakket daarachter draait.
De check en het pakketbewijs beantwoorden verschillende vragen; leg de antwoorden naast elkaar voordat je over de reparatie beslist.
Verschijnt er geen bruikbare versie, vraag dan nog steeds naar de installatiegegevens. Maak van een ontbrekende vermelding geen bevestiging dat de fix aanwezig is. Hetzelfde geldt voor een geruststellend ogend nummer: vraag bij twijfel naar het onderliggende bewijs.
De controle aan de buitenkant vervangt die inhoudelijke beoordeling niet.
Versieheaders verbergen is geen fix. Het weghalen van X-Powered-By of het uitschakelen van expose_php verbergt informatie, maar repareert PHP2Shell niet. Vraag ook dan om bewijs van de geïnstalleerde reparatie.
Verzamel het bewijs van de update
Vraag om de volledige pakketnaam en versie, de bron en de relevante passage uit de changelog. Laat de beheerder de koppeling met de bedoelde reparatie uitleggen. Lees het PHP-pakket controlerenEen PHP-pakket controleren betekent dat je de geïnstalleerde pakketversie naast het overzicht van wijzigingen en de bevestiging van je beheerder legt. voor de vragen die je kunt stellen.
Ontbreekt een verwijzing, noteer dan precies welke onderbouwing nog moet komen.
Vraag ook wat er na de wijziging is gecontroleerd. Welke website is geopend en welke functies zijn getest? Wie heeft bevestigd dat de nieuwe installatie voor jouw domein in gebruik is?
Houd deze vragen los van de openbare headerEen HTTP-header is een regel met extra informatie die de browser van je bezoeker en de server van je website achter de schermen naar elkaar sturen.. Ze gaan over de uitgevoerde wijziging en het gebruik van de site, niet alleen over een meting.
Controleer de beveiligingsstatus voor de vastgelegde feiten. Laat je beheerder aangeven welke daarvan hij met het pakketbewijs kan beantwoorden. Trek geen conclusie over alle mogelijke problemen op basis van één gerepareerd probleem.
Beschrijf de uitkomst zo precies als het bewijs toelaat en bewaar open punten zichtbaar.
Als scanner en beheerder elkaar tegenspreken
Stuur de meting terug met een korte vraag: hoe verklaar je deze openbare versie naast de pakketgegevens die je gaf? Vraag een schriftelijk antwoord dat iemand anders ook kan volgen. Laat je niet afschepen met alleen het advies de waarschuwing te negeren.
Een begrijpelijke verklaring hoort bij de controle.
Blijft het antwoord onduidelijk, bespreek een vervolgonderzoek of een andere onderhoudsroute. Gebruik de hostergidsen om je huidige instellingen terug te vinden. Bekijk de ondersteunde PHP-versies voor het gesprek over een upgrade.
Vraag je beheerder om beoordeling van die overstap als je beheerder geen uitvoerbaar plan heeft.
Bewaar tot slot de oorspronkelijke melding én het antwoord. Spreek af wanneer de open punten worden opgevolgd. Laat de eigenaar van de site weten wat bewezen is en wat nog moet worden uitgezocht.
Daarmee voorkom je dat een waarschuwing uit beeld verdwijnt terwijl de vraag over het pakket nog niet is beantwoord.
Niet zeker welke route past?
Start met de PHP exposure check en bewaar de uitkomst. Gebruik daarna het hulpformulier met je domein en de bevestiging van je hoster. Vermeld dat de controle na een update nog een oude versie meldt.
Deel geen wachtwoorden of volledige serverbestanden; begin met de concrete tegenstrijdigheid.
Veelgestelde vragen
Waarom meldt mijn PHP-scanner nog een oude versie?
Een gepatcht distributiepakket kan de oude PHP-basis houden. Laat de beheerder de zichtbare versie vergelijken met het pakketbewijs voor jouw website.
Bewijst de Exposure Check dat mijn PHP gepatcht is?
Nee. Voor de PHP-versie leest de check openbare headers. Voor bewijs van een pakketfix heb je de installatiegegevens en onderbouwing van je beheerder nodig.
Moet ik de waarschuwing na een PHP-update negeren?
Vraag eerst een verklaring met bewijs. Houd de vraag open als de beheerder niet kan vaststellen welk pakket jouw domein gebruikt.