PHP-lek session.upload_progress: wat nu te doen?

Status 21 oktober 2026, 12:00 uur: op onze servers staat een tijdelijke maatregel tegen twee kritieke lekken in PHPKeurigOnline zegtPHPPHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering. (CVE-2026-109618 en CVE-2026-109619). Op het grootste deel van onze shared hostingKeurigOnline zegtShared hostingShared hosting is een hostingvorm waarbij meerdere websites dezelfde serverresources delen. blokkeert daarnaast een firewallregel van Imunify360KeurigOnline zegtImunify360Imunify360 is een uitgebreide beveiligingssuite voor Linux webservers met AI-aangedreven malware scanning. het aanvalspatroon dat nu rondgaat. De officiële update van PHP verschijnt vandaag om 16:00 uur. Die installeren we zodra hij voor onze servers beschikbaar is. Voor de meeste websites hoef je niets te doen.

Belangrijk: geen 100% garantie

Onze tijdelijke maatregel verkleint het risico, maar garandeert niet dat je website volledig veilig is. Welke aanvallen hij precies tegenhoudt, is pas duidelijk als PHP de details publiceert. Volledige bescherming komt pas met de update.

Draai je een webwinkel, klantportaal of ander softwarepakket met persoonsgegevens of klantdata? Weeg dan zelf af of je die tot de update van het internet haalt. Het Europese CERT-EU adviseert hetzelfde: overweeg applicaties die vanaf internet bereikbaar zijn af te schermen tot er een fix is^[5].

Let op: een onderhoudsmodus in WordPressKeurigOnline zegtWordPressWordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren. of een andere plugin beschermt hier niet, want die draait zelf ook op PHP. Scherm je site daarom af voordat PHP aan de beurt is, bijvoorbeeld door in je .htaccess alleen je eigen IP-adres toe te laten. Wil je hulp daarbij? Neem contact met ons op.

Hoe het begon

Op 20 oktober kondigde het PHP-securityteam een beveiligingsrelease aan voor twee kritieke kwetsbaarheden, allebei met een CVSS v4.0-score van 9,2. De release staat gepland voor 21 oktober om 14:00 UTC, 16:00 uur Nederlandse tijd. Welke versies geraakt zijn en welke de fix bevatten, publiceert php.net pas bij de release zelf^[1].

Normaal blijven de details tot de release geheim. Dit keer niet: kort na de aankondiging verschenen op internet onbevestigde technische details, en een tool die het lek zou misbruiken. Of die tool echt werkt, is onder beveiligingsonderzoekers omstreden. Bevestigd misbruik is er op dit moment niet^[2].

I have successfully recreated & lab/field tested CVE-2026-109618 / CVE-2026-109619

> Two heap use-after-free primitives in PHP's `session.upload_progress` handler (`php_session_rfc1867_callback`, ext/session/session.c)...

— Jλckλι (@J4ck3LSyN) 21 oktober 2026

Daarna ging het online vooral over de vraag of je het lek kunt afdekken door session.upload_progress uit te zetten, de PHP-functie waar beide fouten in zitten. PHP-ontwikkelaar Gina Peter Banyard was daar duidelijk over: "the only mitigation is patching / upgrading PHP"^[3]. Uitzetten verkleint het risico, maar alleen de update lost het op.

Waarom het ernstig is

De aanval richt zich op PHP zelf, nog voordat de code van een website aan de beurt is. Een plugin of beveiligingsplugin in je site houdt hem dus niet tegen. Lekken als deze worden na het verschijnen van een patch vaak snel misbruikt, omdat de patch laat zien waar de fout zit.

Wat wij gedaan hebben

• 08:30 tot 09:30 uur: we zetten session.upload_progress uit op onze shared hostingservers.
• 09:30 tot 10:00 uur: we zetten de maatregel op al onze andere servers, ook op de VPSKeurigOnline zegtVPSEen VPS is een eigen virtuele server met meer vrijheid en flexibiliteit dan shared hosting.'en die wij beheren. Per server meten we na of de instelling niet alleen op de server staat, maar ook echt geldt binnen de accounts van klanten.
• 10:00 tot 11:00 uur: we controleren of de maatregel ook actief is in de PHP-processen die al draaiden, en niet alleen in de configuratie. Waar dat nodig was, hebben we PHP opnieuw ingeladen, zonder dat websites daarbij offline gingen.
• 11:30 tot 12:00 uur: we installeren Imunify360 op een aantal servers waar het nog ontbrak, zodat ook daar de nieuwe firewallregel tegen dit lek actief is.

Wat moet je zelf doen?

Voor de meeste websites niets. PHP draait op onze servers en wij houden het bij. Je website blijft gewoon werken. Heb je een site met klantdata, lees dan het blok Belangrijk: geen 100% garantie.

Gebruikt je website nog PHP 8.1 of ouder? Die versies krijgen van phpKeurigOnline zegtPHPPHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering..net zelf geen updates meer^[4]. De tijdelijke maatregel blijft voor die versies staan, maar het is een goed moment om over te stappen naar PHP 8.3 of nieuwer. Welke versie je site gebruikt, stel je zelf in via DirectAdminKeurigOnline zegtDirectAdminDirectAdmin is een webhosting control panel ontwikkeld door JBMC Software als kostenefficiënt en gebruiksvriendelijk alternatief voor cPanel., onder Select PHP version of PHP Version Selector.

Beheer je zelf PHP op een eigen VPSKeurigOnline zegtVPSEen VPS is een eigen virtuele server met meer vrijheid en flexibiliteit dan shared hosting. of server? Dan moet je zelf patchen. Zet tot die tijd session.upload_progress.enabled = Off als noodmaatregel, en installeer na 16:00 uur de versie die php.net bekendmaakt^[1].

Wij vragen je nooit per e-mail om je wachtwoord. Krijg je in verband met dit lek een mail die daar wel om vraagt en zich voordoet als KeurigOnline? Dan is die niet van ons.

Veelgestelde vragen

Wordt er actief gescand op misbruik?

Ja. Het grootste deel van onze shared hostingservers draait Imunify360. Dat scant bestanden doorlopend op malware en blokkeert verdachte verzoeken. Sinds vanochtend bevat het ook een regel tegen het aanvalspatroon dat nu rondgaat^[6]. Na de update van 16:00 uur laten we daarnaast een extra scan op onze servers draaien.

Kan een aanval op een andere website op dezelfde server ook mijn site raken?

Op onze shared hosting draait elk account afgeschermd van de andere accounts, met CloudLinuxKeurigOnline zegtCloudLinuxCloudLinux is een gespecialiseerd Linux-besturingssysteem voor webhostingproviders dat elke gebruiker isoleert in een eigen container. CageFS. Een aanvaller die via een andere site binnenkomt, kan daardoor niet zomaar bij jouw bestanden.

Mijn site draait niet op de allernieuwste PHP-versie. Moet ik iets doen?

Nee. De PHP-versies op onze servers werken we zelf bij. De tijdelijke maatregel staat op elke versie, en de gerepareerde versies installeren we zodra CloudLinux ze uitlevert.

Moet ik mijn site uit voorzorg afsluiten, bijvoorbeeld via .htaccess?

Voor de meeste sites hoeft dat niet. Doe je het uit voorzorg toch, dan kan dat geen kwaad. Haal de blokkade na de update weer weg. Heb je een site met klantdata, lees dan het blok Belangrijk: geen 100% garantie.

Wanneer is de update geïnstalleerd?

PHP publiceert de fix om 16:00 uur. Daarna bouwt CloudLinux de pakketten voor onze servers, en dat kan enkele uren duren. We installeren ze zodra ze er zijn, ook 's avonds, en melden het op deze pagina.

Hoe zet ik session.upload_progress.enabled zelf uit?

Host je bij ons, dan hoeft dat niet: wij hebben het op onze servers al uitgezet. Zet het ook niet zelf weer aan, bijvoorbeeld via een .htaccess of .user.ini van een oude installatie.

Beheer je zelf een server, zet dan in je php.ini:

session.upload_progress.enabled = Off

Kun je niet bij de php.ini, dan kan het per website. Op ApacheKeurigOnline zegtApacheApache HTTP Server is een open source webserver ontwikkeld door de Apache Software Foundation. met mod_php of op LiteSpeedKeurigOnline zegtLiteSpeedLiteSpeed is een snelle webserver die tot 6 keer sneller is dan Apache en gebruikmaakt van een efficiënte event-driven architectuur. zet je in de .htaccess in de map van je website:

php_flag session.upload_progress.enabled off

Draait PHP via PHP-FPM, dan werkt .htaccess niet. Zet de regel uit de php.ini dan in een bestand .user.ini in de map van je website. Het kan tot vijf minuten duren voordat PHP dat bestand oppakt.

Hoe weet ik of mijn website vatbaar is?

In principe is elke website vatbaar die op een PHP-versie zonder de update draait, zolang session.upload_progress aanstaat. Wil je zelf zien hoe het bij jouw site staat? Zet tijdelijk een bestand info.php met de inhoud <?php phpinfo(); in de map van je website, open het in je browser en zoek op session.upload_progress.enabled. Staat daar Off, dan is de maatregel actief. Verwijder het bestand daarna meteen, want het laat veel over je server zien.

Hoe merk ik dat mijn website is gehackt?

Let op dingen die je zelf niet hebt gedaan: beheerders in WordPressKeurigOnline zegtWordPressWordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren. die je niet kent, nieuwe PHP-bestanden in de map met uploads, bezoekers die naar een andere site worden doorgestuurd, spampagina's in Google, of een waarschuwing van je browser of van Google dat je site onveilig is. Zie je zoiets, lees dan malware van je website verwijderen. Wil je hulp bij het opschonen, dan is er WordPress-onderhoud.

Updates

• 21 oktober, 12:00 uur: Imunify360, de beveiliging op het grootste deel van onze shared hostingKeurigOnline zegtShared hostingShared hosting is een hostingvorm waarbij meerdere websites dezelfde serverresources delen., heeft vanochtend een nieuwe firewallregel uitgerold die het aanvalspatroon blokkeert dat nu rondgaat. CloudLinuxKeurigOnline zegtCloudLinuxCloudLinux is een gespecialiseerd Linux-besturingssysteem voor webhostingproviders dat elke gebruiker isoleert in een eigen container., de maker van Imunify360, heeft al pogingen gezien die op dat patroon lijken^[6]. Ook dit is een extra laag en geen vervanging van de update van 16:00 uur. Op een aantal servers waar Imunify360KeurigOnline zegtImunify360Imunify360 is een uitgebreide beveiligingssuite voor Linux webservers met AI-aangedreven malware scanning. nog ontbrak, hebben we het vandaag geïnstalleerd.
• 21 oktober, 11:30 uur: advies toegevoegd voor websites met klantdata, in lijn met het advies van CERT-EU^[5].
• 21 oktober, 11:00 uur: we hebben op onze servers nagemeten dat de maatregel niet alleen in de configuratie staat, maar ook actief is in de draaiende PHP-processen.
• 21 oktober, 10:30 uur: de maatregel van vanochtend verkleint het risico, maar dekt de lekken niet volledig af. Welke aanvallen hij precies tegenhoudt, is pas duidelijk als PHP de details publiceert. Volledige bescherming komt met de update van 16:00 uur; die installeren we zo snel mogelijk nadat de bijgewerkte versies beschikbaar zijn. Draai je een website of applicatie met gevoelige gegevens, weeg dan zelf af of je die tot de update in onderhoudsmodus zet of offline haalt.
• 21 oktober, 10:00 uur: tijdelijke maatregel actief, wachten op de update van PHPKeurigOnline zegtPHPPHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering. om 16:00 uur.

Bronnen