ValidSign available again - monitoring the situation

Update timeline

1. investigating Oct 21, 2026, 11:35 AM UTC

   For Dutch, see below: We are aware of two recently disclosed critical vulnerabilities in PHP, known as “PHP2Shell” (CVE-2026-109618 and CVE-2026-109619). These flaws could allow an attacker to run code remotely on affected systems. We take this risk seriously and are treating it as a priority. Our team is investigating how these vulnerabilities could affect our services and which measures are needed. Where possible, our hosting provider is already taking steps to reduce the risk. We will apply the official PHP security updates as soon as they are available and have been tested. At this time, we have no indication that our systems have been exploited.* We are watching closely and will post an update here as soon as we know more. ---------------------------------------------------------------------------------- We hebben kennisgenomen van twee recent bekendgemaakte kritieke kwetsbaarheden in PHP, bekend als “PHP2Shell” (CVE-2026-109618 en CVE-2026-109619). Via deze kwetsbaarheden kan een aanvaller mogelijk op afstand code uitvoeren op getroffen systemen. We nemen dit risico serieus en geven er de hoogste prioriteit aan. Ons team onderzoekt wat de mogelijke gevolgen zijn voor onze dienstverlening en welke maatregelen nodig zijn. Onze hostingprovider neemt waar mogelijk al maatregelen om het risico te beperken. Zodra de officiële PHP-beveiligingsupdates beschikbaar en getest zijn, voeren we deze door. Er zijn op dit moment geen aanwijzingen dat onze systemen zijn misbruikt.* We volgen de situatie nauwlettend en plaatsen hier een update zodra we meer weten.

2. investigating Oct 21, 2026, 12:08 PM UTC

   To protect our customers and their data, we have decided to take the ValidSign application offline temporarily. This is a precautionary measure related to the critical PHP vulnerabilities (PHP2Shell, CVE-2026-109618 and CVE-2026-109619) reported earlier. At this time, we have no indication that customer data has been affected. We are taking the application offline purely as a precaution. While the application is offline, you cannot create, send or sign transactions. We understand this affects your work and we apologize for the inconvenience. We are working with our hosting provider to put the needed security measures in place. We will bring the application back online as soon as we can do so safely. We will post an update here at 16:00 CEST, or sooner if there is news. -------------------------------------------------------------------------------------------- Om onze klanten en hun gegevens te beschermen, hebben we besloten de ValidSign-applicatie tijdelijk offline te halen. Dit is een voorzorgsmaatregel naar aanleiding van de eerder gemelde kritieke PHP-kwetsbaarheden (PHP2Shell, CVE-2026-109618 en CVE-2026-109619). Er is op dit moment geen enkele aanwijzing dat er iets is gebeurd met klantgegevens. We halen de applicatie uitsluitend uit voorzorg offline. Zolang de applicatie offline is, kunt u geen transacties aanmaken, versturen of ondertekenen. We begrijpen dat dit gevolgen heeft voor uw werk en bieden onze excuses aan voor het ongemak. Samen met onze hostingprovider voeren we de nodige beveiligingsmaatregelen door. Zodra dat veilig kan, brengen we de applicatie weer online. Om 16:00 uur CEST plaatsen we hier een update, of eerder als er nieuws is.

3. identified Oct 21, 2026, 03:18 PM UTC

   The security fix for the PHP vulnerabilities (PHP2Shell) is now available, and we are rolling it out across our systems. The application stays offline until the rollout is complete and we have checked that everything works safely. We still have no indication that customer data has been affected. We will keep you informed and post an update here as soon as ValidSign is available again. ------------------------------------------------------------------------------------------------------ De beveiligingsfix voor de PHP-kwetsbaarheden (PHP2Shell) is beschikbaar en we rollen deze nu uit op onze systemen. De applicatie blijft offline totdat de uitrol klaar is en we hebben gecontroleerd dat alles veilig werkt. Er is nog steeds geen aanwijzing dat er iets is gebeurd met klantgegevens. We houden u op de hoogte en plaatsen hier een update zodra ValidSign weer beschikbaar is.

4. monitoring Oct 21, 2026, 11:26 PM UTC

   The security fix for the PHP vulnerabilities (PHP2Shell, CVE-2026-109618 and CVE-2026-109619) has been rolled out successfully. ValidSign has been fully available again and you can create, send and sign transactions as usual. Our investigation found no indication that customer data has been affected. Taking the application offline was purely a precaution. We will keep monitoring our systems closely. Thank you for your patience and understanding. If you notice anything unusual, please contact our support team. -------------------------------------------------------------------------------------------- De beveiligingsfix voor de PHP-kwetsbaarheden (PHP2Shell, CVE-2026-109618 en CVE-2026-109619) is succesvol uitgerold. ValidSign is weer volledig beschikbaar en u kunt weer zoals gewoonlijk transacties aanmaken, versturen en ondertekenen. Uit ons onderzoek is geen aanwijzing naar voren gekomen dat er iets is gebeurd met klantgegevens. Het offline halen van de applicatie was uitsluitend een voorzorgsmaatregel. We blijven onze systemen nauwlettend in de gaten houden. Bedankt voor uw geduld en begrip. Merkt u iets ongebruikelijks op? Neem dan contact op met ons supportteam.

5. resolved Oct 21, 2026, 11:46 PM UTC

   This incident has been resolved.