--- title: "Wat is een patch? Uitleg over beveiligingspatches" description: "Een patch is een kleine wijziging in software die een fout of beveiligingslek repareert." canonical: https://www.keurigonline.nl/begrippenlijst/patch last_modified: 2025-12-18 --- [Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst) # Patch Een patch is een kleine wijziging in software die een fout of beveiligingslek repareert. Actueel: [PHP-lek PHP2Shell (session.upload\_progress): status en wat je moet doen](https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress) Een patch is een kleine wijziging in bestaande software die een fout of beveiligingslek repareert. Het woord betekent letterlijk lap of pleister. Vroeger kreeg je een reparatie op ponskaarten of papieren tape, en dan knipte je het foute stuk eruit en plakte je het nieuwe ervoor in de plaats. In de praktijk lopen de woorden door elkaar, maar er is een verschil. Een patch repareert één probleem. Een update brengt software naar een nieuwere versie binnen dezelfde reeks, zoals PHP 8.4.26 naar 8.4.27, en bevat vaak meerdere patches. Bij een upgrade stap je over op een nieuwe hoofdversie, bijvoorbeeld van PHP 8.1 naar 8.4, en dan heeft je eigen code soms ook aanpassing nodig. Een gepatchte versie krijgt niet altijd een nieuw versienummer. Toen PHP in oktober 2026 twee kritieke lekken repareerde, kregen oudere versies als 7.4 en 8.1 alleen een backport van de reparatie, dus bleef 7.4.33 gewoon 7.4.33. Zie je in phpinfo() hetzelfde nummer als vóór de update, dan zegt dat dus niets: alleen de changelog of je leverancier vertelt of de fix erin zit. Voor je website betekent patchen vooral WordPress, plugins en thema's bijwerken zodra er een beveiligingsupdate is. Wacht daar niet mee, want aanvallers lezen na het verschijnen van een patch mee waar de fout zat. PHP en de serversoftware worden op shared hosting door je hostingprovider gepatcht. Beheer je zelf een VPS met DirectAdmin, dan installeer je nieuwe PHP-builds met da build update en daarna da build php. ## Geschiedenis De naam stamt uit de tijd van ponskaarten en papieren tape: een fout stuk werd eruit geknipt en vervangen door een nieuw stuk ([Wikipedia](https://en.wikipedia.org/wiki/Patch_(computing))). Later kwamen patches als bestanden, en tegenwoordig vooral als automatische update. Belangrijke mijlpalen: - **2003:** Microsoft voert na de Blaster-worm [Patch Tuesday](https://en.wikipedia.org/wiki/Patch_Tuesday) in, een vaste dag per maand voor patches - **2022:** NIST publiceert [SP 800-40 Rev. 4](https://csrc.nist.gov/pubs/sp/800/40/r4/final) over patchbeheer in organisaties - **2026:** PHP brengt 8.2.35, 8.3.36, 8.4.27 en 8.5.12 uit, met minimale backports voor 7.4, 8.0 en 8.1 ## Bronnen 1. **Wikipedia** - [Patch (computing)](https://en.wikipedia.org/wiki/Patch_(computing)) 2. **NIST (2022)** - [SP 800-40 Rev. 4: Guide to Enterprise Patch Management Planning](https://csrc.nist.gov/pubs/sp/800/40/r4/final) 3. **Red Hat** - [Backporting Security Fixes](https://access.redhat.com/security/updates/backporting) 4. **PHP (2026)** - [Security advisory: critical remote code execution vulnerabilities](https://www.php.net/archive/2026.php) 5. **DirectAdmin** - [PHP in DirectAdmin (CustomBuild)](https://docs.directadmin.com/webservices/php/) ## Gerelateerde artikelen Beveiliging 22 okt 2026 [CVE-2026-109618 en -109619: de technische deepdive](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive) Op onze shared hosting (`cl01` tot en met `cl09`) draait PHP als lsphp onder LiteSpeed Enterprise 6.3.7 of onder Apache met mod\_lsapi, binnen CloudLinux CageFS. Op onze VPS'en en DirectAdmin-servers draait Apache met PHP-FPM. mod\_php gebruiken we vrijwel nergens. Daarmee viel het bevestigde aanvalspad voor het overgrote deel van onze servers af, en was de FPM-route via upload progress het pad om dicht te zetten. ## Laag 1: session.upload\_progress uit, per stack Het advies tot de patch was `session.upload_progress.enabled = 0`, toegepast vóór het parsen van requests, en daarna elke worker herstarten\[1\]\[2\]. Dat blokkeert de bevestigde routes van CVE-2026-109619, niet de geheugenroute van CVE-2026-109618. Op onze servers draaien PHP-versies van 5.2 tot en met 8.5 naast elkaar, verdeeld over drie configuratiemodellen. ### DirectAdmin CustomBuild Elke CustomBuild-versie leest een eigen `php.conf.d`. Een drop-in per versie, daarna een reload van de bijbehorende FPM-pool: Blog 21 okt 2026 [PHP-lek PHP2Shell (session.upload\_progress): status en wat je moet doen](https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress) I have successfully recreated & lab/field tested CVE-2026-109618 / CVE-2026-109619 > Two heap use-after-free primitives in PHP's `session.upload\_progress` handler (`php\_session\_rfc1867\_callback`, ext/session/session.c)... Daarna ging het online vooral over de vraag of je het lek kunt afdekken door `session.upload_progress` uit te zetten, de PHP-functie waar beide fouten in zitten. PHP-ontwikkelaar Gina Peter Banyard was daar duidelijk over: "the only mitigation is patching / upgrading PHP"[\[3\]](https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/). Uitzetten verkleint het risico, maar alleen de update lost het op. ## Waarom het ernstig is De aanval richt zich op PHP zelf, nog voordat de code van een website aan de beurt is. Een plugin of beveiligingsplugin in je site houdt hem dus niet tegen. Lekken als deze worden na het verschijnen van een patch vaak snel misbruikt, omdat de patch laat zien waar de fout zit. Beveiliging 21 jul 2026 [WordPress CVE-2026-63030 beveiligen: patch nu (wp2shell)](https://www.keurigonline.nl/blog/wordpress-cve-2026-63030-beveiligen) CVE-2026-63030 is de kritieke WordPress-kwetsbaarheid waarvoor WordPress op 17 juli 2026 een noodpatch uitbracht, samen met een tweede, gekoppelde kwetsbaarheid: samen staan ze bekend als wp2shell. Het Nationaal Cyber Security Centrum verwacht op korte termijn actief misbruik, want de proof-of-concept-code staat inmiddels gewoon op GitHub.[\[1\]](https://www.security.nl/posting/945715/NCSC+verwacht+op+korte+termijn+misbruik+van+kritiek+WordPress-lek+-+Update?channel=rss) Het gat maakt een volledige, ongeauthenticeerde overname van je WordPress-site mogelijk, zonder dat er een kwetsbare plugin of thema aan te pas komt. **Samenvatting: CVE-2026-63030 (wp2shell) patchen** Twee gekoppelde WordPress Core-bugs, CVE-2026-63030 (CVSS 9,8) en CVE-2026-60137 (CVSS 9,1), vormen samen wp2shell: een pre-auth remote-code-execution-keten die al werkt op een kale, ongewijzigde WordPress-installatie. Getroffen zijn versies 6.9.0 tot 6.9.4 en 7.0.0 tot 7.0.1 (volledige overname) en 6.8.0 tot 6.8.5 (sql-injectie). Update per direct naar 6.9.5, 7.0.2 of 6.8.6. Kun je dat nu niet? Blokkeer dan tijdelijk het endpoint `/wp-json/batch/v1` op je firewall.