---
title: "Wat is Mitigatie? Uitleg en betekenis | Keurig Online"
description: "Mitigatie is een maatregel die het risico of de schade van een beveiligingslek verkleint zolang er nog geen echte oplossing is."
canonical: https://www.keurigonline.nl/begrippenlijst/mitigatie
last_modified: 2025-12-18
---

[Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst)

# Mitigatie

Mitigatie is een maatregel die het risico of de schade van een beveiligingslek verkleint zolang er nog geen echte oplossing is.

Actueel: [CVE-2026-109618 en -109619: de technische deepdive](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive)

Mitigatie betekent het beperken of verzachten van een risico of van de gevolgen ervan. Je kent het woord misschien uit het klimaatbeleid. In IT-beveiliging is een mitigatie een maatregel die de kans op misbruik van een lek of de schade ervan kleiner maakt, zolang de echte reparatie er nog niet is.

Een mitigatie kan een instelling zijn die een kwetsbaar onderdeel uitzet, een firewallregel die het aanvalspatroon blokkeert, of het afschermen van een applicatie van internet. Het Amerikaanse NIST omschrijft het als het tijdelijk verkleinen van de impact van een kwetsbaarheid of van de kans dat die wordt misbruikt. De fout zelf blijft dus bestaan, alleen wordt een aanval moeilijker.

Bij het PHP-lek van oktober 2026 was de belangrijkste mitigatie de instelling session.upload\_progress.enabled = Off, die het onderdeel uitschakelt waar een van de fouten zat. Volgens php.net blokkeerde die de bevestigde aanvalsroutes via sessies, maar niet elke variant, en loste alleen de update het echt op. Een instelling werkt bovendien pas als het draaiende PHP-proces hem heeft ingelezen, dus na het aanpassen herstart je PHP.

Een WAF (web application firewall) is een veelgebruikte mitigatie, omdat je een nieuwe regel binnen uren kunt uitrollen. Imunify360 kreeg bij het PHP-lek bijvoorbeeld regels tegen het aanvalspatroon en de publieke aanvalstool. Toch kan wie de fout begrijpt zo'n regel omzeilen, dus houd een mitigatie in stand tot de patch erop staat en beslis daarna pas of je hem nog nodig hebt.

## Geschiedenis

Mitigaties zijn er altijd geweest, maar ze werden pas echt bekend bij fouten die je niet meteen kon repareren. Bij [Meltdown](https://en.wikipedia.org/wiki/Meltdown_(security_vulnerability)) zat de fout in de processor zelf, dus moesten besturingssystemen de gevolgen opvangen.

Belangrijke mijlpalen:

- **2018:** Meltdown en Spectre: Linux beperkt de schade met kernel page-table isolation (KPTI), omdat de fout in de processor zelf zit
- **2023:** NIST omschrijft mitigatie in SP 800-216 als het tijdelijk verkleinen van de impact of de kans op misbruik van een kwetsbaarheid ([NIST-woordenlijst](https://csrc.nist.gov/glossary/term/mitigation))
- **2026:** Bij twee kritieke PHP-lekken noemen php.net en [CERT-EU](https://cert.europa.eu/publications/security-advisories/2026-018/) tijdelijke maatregelen, met de nadruk dat alleen een update het lek dicht

## Bronnen

1. **NIST CSRC** - [Glossary: mitigation](https://csrc.nist.gov/glossary/term/mitigation)
2. **MITRE ATT&CK** - [T1190: Exploit Public-Facing Application (mitigations)](https://attack.mitre.org/techniques/T1190/)
3. **PHP (2026)** - [Security advisory: if you cannot update immediately](https://www.php.net/archive/2026.php)
4. **CERT-EU (2026)** - [Security Advisory 2026-018: Critical Vulnerabilities in PHP](https://cert.europa.eu/publications/security-advisories/2026-018/)
5. **PHP Manual** - [Session runtime configuration](https://www.php.net/manual/en/session.configuration.php)

## Gerelateerde artikelen

Beveiliging 22 okt 2026

[CVE-2026-109618 en -109619: de technische deepdive](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive)

- **De SAPI is een beveiligingskeuze.** PHP los van de webserver draaien verkleinde hier het aanvalsoppervlak, nog voordat er een patch was.
- **Lagen kopen tijd.** Mitigatie, WAF, isolatie en een guard samen gaven ons de ruimte om rustig op de vendors te wachten, en hun builds direct door te voeren zodra ze er waren.

Zo'n nacht laat zien waarom we onze hosting zo inrichten. Van de release van PHP tot de laatste gecontroleerde build zat ruim tien uur, over tientallen PHP-builds en drie leveranciers heen. Heb je vragen over je eigen server of wil je met ons sparren over je PHP-stack? [Neem contact met ons op](https://www.keurigonline.nl/contact).