KB Statamic versies en security advisories¶
Totaaloverzicht van alle Statamic softwareoplossingen uit het CRM met de huidige Statamic-versie, en of ze vatbaar zijn voor de security advisories die Statamic op 2026-10-06 heeft gepubliceerd.
Peildatum: 2026-10-09
De versies komen uit het composer.lock van de productiebranch in GitHub (de branch die Ploi of Forge deployt). Dit is de versie die bij de eerstvolgende deployment geïnstalleerd wordt. Was de site sinds de laatste push niet gedeployd, dan kan de draaiende versie afwijken. Controleer op de server met composer show statamic/cms.
Conclusie
Geen enkele softwareoplossing draait in productie op een gepatchte versie. Alle sites met Statamic 5 of 6 moeten naar 5.74.5 of 6.35.1. De sites op Statamic 4 of ouder krijgen geen patch en moeten een major upgrade krijgen. Zeven sites missen bovendien de high-severity fix van 14 augustus (zie eerdere advisories).
Voortgang (bijgewerkt 2026-10-10)
Drie sites hebben al een branch op de doelversie klaarstaan, nog niet gemerged/live: Brekz CMS (feature/BR-8103-statamic-6.35.1-security-patch, 6.35.1, overgedragen aan Jasper Stolwijk), ITdonations (feature/IUS-3423-major-update-statamic-laravel, 6.35.1) en W3 Wijnen (feature/GB-1747-major-update-statamic-laravel, 6.35.1, QA met Playwright loopt). ThysToys Shop Platform krijgt de patch mee in de lopende major-upgrade TT-1512. Live overzicht met eigenaar per site: Statamic Updates dashboard.
Update uitvoeren
Voer de updates uit volgens de procedure in KB Flooris Statamic - Statamic Update Procedures: scope bepalen, discovery, development, QA, visuele regressiecontrole en klantcommunicatie.
Advisories van 2026-10-06¶
Bron: statamic/cms security advisories
| Advisory | Ernst | Gepatcht in | Wanneer relevant |
|---|---|---|---|
| GHSA-p5xm-f98m-55rw — willekeurige klasse-instantiatie via validatieregels in het Control Panel | High | 5.74.5 / 6.35.1 | Elke ingelogde Control Panel gebruiker kan bestanden verwijderen of uitgaande requests doen. Niet bereikbaar zonder CP-sessie. |
| GHSA-q2r9-975x-mq28 — stored XSS via SVG assets | Medium | 5.74.5 / 6.35.1 | Sites waar (ook via frontend formulieren) SVG-bestanden geüpload kunnen worden. Bestaande SVG's worden niet aangepast. |
| GHSA-jh5q-3472-hwjp — impersonatie ondanks uitgeschakelde configuratie | Medium | 5.74.5 / 6.35.0 | Sites die impersonatie uitgezet hebben maar de permissie "impersonate users" toch aan een rol hebben gegeven. |
| GHSA-j2q4-vcj5-v3h3 — SSRF via Glide (IPv6) | Low | 5.74.5 / 6.35.1 | Sites die door gebruikers aangeleverde URL's aan Glide doorgeven. |
Statamic 4 en ouder
De advisories noemen geen patch voor Statamic 4 of ouder. We behandelen die sites daarom als vatbaar zonder patch: updaten binnen v4 lost niets op. Of een specifieke v4-site daadwerkelijk kwetsbaar is, is niet per site getoetst.
Overzicht CRM softwareoplossingen¶
Alle 17 softwareoplossingen zijn op basis van hun versie vatbaar voor de advisories van 6 oktober. De derde tabel bevat de sites die bewust niet geüpdatet worden. De kolom 14 aug toont of de high-severity fix van 14 augustus ( aanwezig, ontbreekt). De ClickUp-taken tonen de status op de peildatum.
Minor update naar 5.74.5 of 6.35.1¶
| Site | Statamic | Laravel | 14 aug | Doel | ClickUp |
|---|---|---|---|---|---|
| Brekz CMS | 5.73.12 | 11.48 | 6.35.1 | BR-7244 in progress BR-8103 in progress |
|
| ITdonations | 5.65.2 | 12.31 | 6.35.1 | IUS-3423 in progress | |
| Ken Aerts | 6.27.1 | 12.65 | 6.35.1 | GB-1574 done | |
| Manneken Pis | 6.27.0 | 13.24 | 6.35.1 | MP-265 done | |
| Race to the Finish | 6.27.0 | 13.24 | 6.35.1 | TT-1524 done | |
| ThysToys Shop Platform | 5.48.0 | 11.35 | 6.35.1 | TT-1512 in progress | |
| Trampolineingraven | 6.27.0 | 13.24 | 6.35.1 | TT-1377 qa - code-review TT-1523 done |
|
| Twin Pharma | 6.29.0 | 13.29 | 6.35.1 | GB-1596 done | |
| Witte Rentmeesters | 6.28.0 | 12.67 | 6.35.1 | GB-1563 approved ready4deploy |
Major upgrade nodig (Statamic 4, geen patch)¶
| Site | Statamic | Laravel | ClickUp |
|---|---|---|---|
| Caritas St. Lucas | 4.31.0 | 9.52 | GB-1749 in behandeling |
| Het ID | 4.58.2 | 9.52 | GB-1336 en GB-1340 qa - by flooris - test |
| Priotec | 4.58.2 | 9.52 | GB-1748 in progress |
| W3 Wijnen | 4.58.2 | 10.40 | GB-1747 in progress GB-1583 pending |
| Your Pharma Partner | 4.58.3 | 9.52 | GB-1573 in progress |
Geen onderhoud of niet in productie¶
| Site | Statamic | Laravel | Reden | ClickUp |
|---|---|---|---|---|
| Groot in Projecten | 5.68.0 | 12.37 | on hold, nog niet live; Ploi sites suspended | geen update-taak |
| Napkins | 2.11.22 | n.v.t. | inactieve klant, niet onderhouden; end-of-life | GB-1087 goedkeuring vereist |
| NEG ITsolutions | 2.11.22 | n.v.t. | gearchiveerd, niet in productie | IUS-3422 todo |
Prioriteit
- Hoogste risico: de zeven sites in de eerste tabel met bij 14 aug: ThysToys Shop Platform (5.48.0, de oudste 5.x), Brekz CMS en ITdonations (5.x lager dan 5.74.4) en Ken Aerts, Manneken Pis, Race to the Finish en Trampolineingraven (6.27.x).
- Daarna: Twin Pharma en Witte Rentmeesters (gewone minor updates naar 6.35.1).
- Planning vereist: de vijf Statamic 4-sites. Er is geen patch, dus dit zijn major upgrades met urenbegroting.
Opmerkingen per site¶
- Groot in Projecten: de website is on hold en nog niet live; de klant heeft geen content aangeleverd. De security patches worden niet doorgevoerd. Beide Ploi sites (
grootinprojecten.nlengrootinprojecten.9test.nl) staan op Suspended. Update de repository pas voordat de site alsnog live gaat. - W3 Wijnen: de oude epic-branch
feature/GB-1400-EPIC-W3-Wijnen-Major-update(PR #3, ~11 maanden open) en 3 losse Shift-PR's (#12, #29, #30) zijn gesloten als superseded. Het werk is opnieuw gedaan vanafmasteropfeature/GB-1747-major-update-statamic-laravel(PR #32, 8 commits) en staat al op Statamic 6.35.1 + Laravel 13.35.0 — verder dan de oorspronkelijke 5.74.5-doelstelling. Nog open: Playwright visual-compare QA (loopt), Screaming Frog-crawlvergelijking, Forge-servercheck; daarna review en go-live. Zie GB-1747. - Het ID: de branch
development(acceptatie) staat al op Statamic 5.69.0. De productiebranchmasternog op 4.58.2. Mergen naarmasteris een eerste stap, maar 5.69.0 is zelf ook nog niet gepatcht. - Priotec: branch
feature/GB-1748-major-update-statamic-laravelstaat al op Statamic 6.35.1 + Laravel 13.35.0 (PHP 8.1 → 8.4, Node → 24 LTS), in één stap naar v6 omdat Statamic 4 en 5 (<5.74.3) door Composer geblokkeerd worden op eentiptap-php-advisory. Addon vervangen:withcandour/aardvark-seo→justkidding96/aardvark-seo. PR #1 staat open naarmaster;composer auditis schoon (open punt: Laravel Mix 6 is EOL, vervolgtaak Vite-migratie nodig). Pre-release: PHP 8.4 en Node 24 op Forge/Ploi, Statamic-licentie voor v6. Post-release: Screaming Frog-crawl, formulieren/Turnstile testen, Search Console dag 1/7/14. Zie GB-1748. - Brekz CMS: Laravel Nova plus Statamic op een dedicated Hetzner-server, met twee productieomgevingen.
cms-templating.brekz.nlis actief (productiebranchmaster-templating, nog op 5.73.12); de eigen patch-branchfeature/BR-8103-statamic-6.35.1-security-patchstaat al op Statamic 6.35.1 + Laravel 12.69.3, als onderdeel van de lopende major-upgrade BR-7244, overgedragen aan Jasper Stolwijk (BR-8103).cms.brekz.nlis een oude, bevroren productieomgeving: geen deployments meer en de Git-branch is verwijderd, dus niet via de normale weg patchbaar — vereist een apart besluit (decommissionen of handmatig patchen). - ThysToys Shop Platform: één codebase (
thystoys/thystoys-shop-platform-2020, branchmaster) voor 8 webshops op Forge FL09FOR-TYS05. Eén update patcht alle shops tegelijk. Statamic 5.48.0 en Laravel 11.35.1 zijn de oudste 5.x-versies in dit overzicht;masterendevelopmentstaan beide op 5.48.0. De major update loopt in TT-1512 (Laravel 13, PHP 8.5, Tailwind 4, status in progress). De branchfeature/TT-1512-laravel-13-upgradestaat al op Statamic 6.31.0 en Laravel 13.32.0, maar is nog niet gemerged en 6.31.0 is zelf nog niet gepatcht: neem de update naar 6.35.1 mee in TT-1512 (de taak noemt Statamic nu niet in de scope). Doel in de tabel is daarom 6.35.1. - Trampolineingraven en Race to the Finish:
developmentvan Race to the Finish staat nog op Statamic 3.4.7. Dat is alleen een oude branch, productie ismaster. - ITdonations: Ploi deployt de branch
main. De default branch op GitHub isdevelopment; beide staan op 5.65.2. De patch-branchfeature/IUS-3423-major-update-statamic-laravelis gepusht en staat al op Statamic 6.35.1 + Laravel 13.35.0 (direct naar v6 i.p.v. 5.74.5, omdat de 5.x-patch niet los oploste door een dependency-cap vanalt-google-2fa). Addon vervangen:withcandour/aardvark-seo→ de onderhouden forkjustkidding96/aardvark-seo. PR #5 staat open, gericht opdevelopment(let op: niet opmain, de branch die Ploi daadwerkelijk deployt — bij mergen alsnog naarmaindoorzetten). Playwright visual-compare (16 routes × nl/en) toont 0,00–0,94% afwijking t.o.v. productie, enige verschil is de Cloudflare Turnstile-widget zonder geldige site-key lokaal. Pre-release: server-PHP naar 8.5, deploy-Node naar ≥20 (idealiter 24), Statamic-licentie voor v6 controleren. Nog open (mensenwerk): Discovery-baseline, Screaming Frog-crawldiff, tweede-persoon QA, klant-akkoord. Zie IUS-3423.
Eerdere high-severity advisories¶
Deze zijn ouder dan drie dagen, maar relevant voor sites die achterlopen.
| Advisory | Datum | Gepatcht in | Welke sites zijn nog vatbaar |
|---|---|---|---|
| GHSA-33fx-2776-vvp5 — Antlers: account takeover en dataverlies | 2026-08-14 | 5.74.4 / 6.27.2 | Brekz CMS, Groot in Projecten, ITdonations, ThysToys Shop Platform (5.x lager dan 5.74.4) en de vier 6.27.x-sites. |
| GHSA-93qh-5269-9wcf — account takeover via OAuth e-mailmatching | 2026-07-02 | 5.74.1 / 6.24.0 | Brekz CMS, Groot in Projecten, ITdonations, ThysToys Shop Platform (5.x lager dan 5.74.1). Alleen relevant bij OAuth-login. |
Statamic 4 en ouder
Ook voor deze twee advisories bestaat geen patch voor Statamic 4.
Overige Statamic sites (buiten het CRM)¶
Deze sites staan niet als softwareoplossing in het CRM maar draaien wel op Statamic (intern of van een inactieve klant). Zelfde methode, zelfde peildatum. Alle sites hieronder zijn vatbaar; de 4.x-sites krijgen geen patch.
| Site | Statamic | Laravel | Actie | ClickUp |
|---|---|---|---|---|
| Harmelense Dorpsquiz | 5.57.0 | 12.19 | Update naar 5.74.5 | GB-1576 pending |
| Flooris website (flooris.nl) | 4.53.2 | 9.52 | Major upgrade | FL-14214 todo |
| De Groene Buffer | 4.55.0 | 9.52 | Major upgrade | geen update-taak |
| Denkhenk | 4.58.2 | 10.48 | Major upgrade | GB-1581 pending |
| Heatfix | 4.48.0 | 9.52 | Major upgrade | geen update-taak |
| Xelion website | 4.22.0 | 10.24 | Major upgrade | geen update-taak |
| Moogue (inactieve klant) | 4.58.2 | 10.14 | Major upgrade | geen update-taak |
Algemene ClickUp taken¶
- FL-14206 Flooris onderhoud - PvA periodieke statamic updates (input required)
- FL-13047 Statamic websites - Wekelijkse update (wacht op input)
Aanpak¶
- Controleer per site de actuele versie op de server:
composer show statamic/cms. - Plan de minor updates (5.74.5 en 6.35.1) in één Update Day en volg KB Flooris Statamic - Statamic Update Procedures.
- Maak voor de Statamic 4-sites een urenbegroting voor de major upgrade en stem die af met de klant.
- Werk na elke update de versie bij in het CRM en in dit overzicht.
- Controleer bij sites met SVG-uploads de bestaande SVG-assets: de fix saneert bestaande bestanden niet.