--- title: "PHP-lek session.upload_progress: wat nu te doen?" description: "21-10-2026: kritiek PHP-lek (CVE-2026-109618/109619) in session.upload_progress. Wat shared-hosting-klanten nu moeten doen en wat wij al hebben gemitigeerd." canonical: https://www.keurigonline.nl/blog/php-kwetsbaarheid-session-upload-progress last_modified: 2025-10-27 --- Op deze pagina ## Op deze pagina 1. [Blog](https://www.keurigonline.nl/blog) # PHP-lek session.upload\_progress: wat nu te doen? 21-10-2026: kritiek PHP-lek (CVE-2026-109618/109619) in session.upload\_progress. Wat shared-hosting-klanten nu moeten doen en wat wij al hebben gemitigeerd. - Pablo Cleij - 21 oktober 2026 - 8 min lezen Link kopiëren [](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fphp-kwetsbaarheid-session-upload-progress) [](https://x.com/intent/post?text=PHP-lek+session.upload_progress%3A+wat+nu+te+doen%3F&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fphp-kwetsbaarheid-session-upload-progress) [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fphp-kwetsbaarheid-session-upload-progress) [](https://wa.me/?text=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fphp-kwetsbaarheid-session-upload-progress) [](mailto:?subject=PHP-lek%20session.upload_progress%3A%20wat%20nu%20te%20doen%3F&body=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fphp-kwetsbaarheid-session-upload-progress) Op deze pagina **Status 21 oktober 2026, 12:00 uur:** op onze servers staat een tijdelijke maatregel tegen twee kritieke lekken in PHPKeurigOnline zegt [PHP](https://www.keurigonline.nl/begrippenlijst/php)PHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering. (CVE-2026-109618 en CVE-2026-109619). Op het grootste deel van onze shared hostingKeurigOnline zegt [Shared hosting](https://www.keurigonline.nl/begrippenlijst/shared-hosting)Shared hosting is een hostingvorm waarbij meerdere websites dezelfde serverresources delen. blokkeert daarnaast een firewallregel van Imunify360KeurigOnline zegt [Imunify360](https://www.keurigonline.nl/begrippenlijst/imunify360)Imunify360 is een uitgebreide beveiligingssuite voor Linux webservers met AI-aangedreven malware scanning. het aanvalspatroon dat nu rondgaat. De officiële update van PHP verschijnt vandaag om 16:00 uur. Die installeren we zodra hij voor onze servers beschikbaar is. Voor de meeste websites hoef je niets te doen. ## Belangrijk: geen 100% garantie Onze tijdelijke maatregel verkleint het risico, maar garandeert niet dat je website volledig veilig is. Welke aanvallen hij precies tegenhoudt, is pas duidelijk als PHP de details publiceert. Volledige bescherming komt pas met de update. Draai je een webwinkel, klantportaal of ander softwarepakket met persoonsgegevens of klantdata? Weeg dan zelf af of je die tot de update van het internet haalt. Het Europese CERT-EU adviseert hetzelfde: overweeg applicaties die vanaf internet bereikbaar zijn af te schermen tot er een fix is[\[5\]](https://cert.europa.eu/publications/security-advisories/2026-018/). Let op: een onderhoudsmodus in WordPressKeurigOnline zegt [WordPress](https://www.keurigonline.nl/begrippenlijst/wordpress)WordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren. of een andere plugin beschermt hier niet, want die draait zelf ook op PHP. Scherm je site daarom af voordat PHP aan de beurt is, bijvoorbeeld door in je `.htaccess` alleen je eigen IP-adres toe te laten. Wil je hulp daarbij? Neem contact met ons op. ## Hoe het begon Op 20 oktober kondigde het PHP-securityteam een beveiligingsrelease aan voor twee kritieke kwetsbaarheden, allebei met een CVSS v4.0-score van 9,2. De release staat gepland voor 21 oktober om 14:00 UTC, 16:00 uur Nederlandse tijd. Welke versies geraakt zijn en welke de fix bevatten, publiceert php.net pas bij de release zelf[\[1\]](https://www.php.net/archive/2026.php#2026-10-20-1). Normaal blijven de details tot de release geheim. Dit keer niet: kort na de aankondiging verschenen op internet onbevestigde technische details, en een tool die het lek zou misbruiken. Of die tool echt werkt, is onder beveiligingsonderzoekers omstreden. Bevestigd misbruik is er op dit moment niet[\[2\]](https://watchtowr.com/intelligence/php-cve-2026-109618-faq/). > I have successfully recreated & lab/field tested CVE-2026-109618 / CVE-2026-109619 > > > Two heap use-after-free primitives in PHP's `session.upload\_progress` handler (`php\_session\_rfc1867\_callback`, ext/session/session.c)... > > — Jλckλι (@J4ck3LSyN) [21 oktober 2026](https://x.com/J4ck3LSyN/status/2112703096443097263) Daarna ging het online vooral over de vraag of je het lek kunt afdekken door `session.upload_progress` uit te zetten, de PHP-functie waar beide fouten in zitten. PHP-ontwikkelaar Gina Peter Banyard was daar duidelijk over: "the only mitigation is patching / upgrading PHP"[\[3\]](https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/). Uitzetten verkleint het risico, maar alleen de update lost het op. ## Waarom het ernstig is De aanval richt zich op PHP zelf, nog voordat de code van een website aan de beurt is. Een plugin of beveiligingsplugin in je site houdt hem dus niet tegen. Lekken als deze worden na het verschijnen van een patch vaak snel misbruikt, omdat de patch laat zien waar de fout zit. ## Wat wij gedaan hebben - **08:30 tot 09:30 uur:** we zetten `session.upload_progress` uit op onze shared hostingservers. - **09:30 tot 10:00 uur:** we zetten de maatregel op al onze andere servers, ook op de VPSKeurigOnline zegt [VPS](https://www.keurigonline.nl/begrippenlijst/vps)Een VPS is een eigen virtuele server met meer vrijheid en flexibiliteit dan shared hosting. 'en die wij beheren. Per server meten we na of de instelling niet alleen op de server staat, maar ook echt geldt binnen de accounts van klanten. - **10:00 tot 11:00 uur:** we controleren of de maatregel ook actief is in de PHP-processen die al draaiden, en niet alleen in de configuratie. Waar dat nodig was, hebben we PHP opnieuw ingeladen, zonder dat websites daarbij offline gingen. - **11:30 tot 12:00 uur:** we installeren Imunify360 op een aantal servers waar het nog ontbrak, zodat ook daar de nieuwe firewallregel tegen dit lek actief is. ## Wat moet je zelf doen? Voor de meeste websites niets. PHP draait op onze servers en wij houden het bij. Je website blijft gewoon werken. Heb je een site met klantdata, lees dan het blok Belangrijk: geen 100% garantie. Gebruikt je website nog PHP 8.1 of ouder? Die versies krijgen van phpKeurigOnline zegt [PHP](https://www.keurigonline.nl/begrippenlijst/php)PHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering. .net zelf geen updates meer[\[4\]](https://www.php.net/supported-versions.php). De tijdelijke maatregel blijft voor die versies staan, maar het is een goed moment om over te stappen naar PHP 8.3 of nieuwer. Welke versie je site gebruikt, stel je zelf in via DirectAdminKeurigOnline zegt [DirectAdmin](https://www.keurigonline.nl/begrippenlijst/directadmin)DirectAdmin is een webhosting control panel ontwikkeld door JBMC Software als kostenefficiënt en gebruiksvriendelijk alternatief voor cPanel. , onder **Select PHP version** of **PHP Version Selector**. Beheer je zelf PHP op een eigen VPSKeurigOnline zegt [VPS](https://www.keurigonline.nl/begrippenlijst/vps)Een VPS is een eigen virtuele server met meer vrijheid en flexibiliteit dan shared hosting. of server? Dan moet je zelf patchen. Zet tot die tijd `session.upload_progress.enabled = Off` als noodmaatregel, en installeer na 16:00 uur de versie die php.net bekendmaakt[\[1\]](https://www.php.net/archive/2026.php#2026-10-20-1). Wij vragen je nooit per e-mail om je wachtwoord. Krijg je in verband met dit lek een mail die daar wel om vraagt en zich voordoet als KeurigOnline? Dan is die niet van ons. ## Veelgestelde vragen ### Wordt er actief gescand op misbruik? Ja. Het grootste deel van onze shared hostingservers draait Imunify360. Dat scant bestanden doorlopend op malware en blokkeert verdachte verzoeken. Sinds vanochtend bevat het ook een regel tegen het aanvalspatroon dat nu rondgaat[\[6\]](https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5). Na de update van 16:00 uur laten we daarnaast een extra scan op onze servers draaien. ### Kan een aanval op een andere website op dezelfde server ook mijn site raken? Op onze shared hosting draait elk account afgeschermd van de andere accounts, met CloudLinuxKeurigOnline zegt [CloudLinux](https://www.keurigonline.nl/begrippenlijst/cloudlinux)CloudLinux is een gespecialiseerd Linux-besturingssysteem voor webhostingproviders dat elke gebruiker isoleert in een eigen container. CageFS. Een aanvaller die via een andere site binnenkomt, kan daardoor niet zomaar bij jouw bestanden. ### Mijn site draait niet op de allernieuwste PHP-versie. Moet ik iets doen? Nee. De PHP-versies op onze servers werken we zelf bij. De tijdelijke maatregel staat op elke versie, en de gerepareerde versies installeren we zodra CloudLinux ze uitlevert. ### Moet ik mijn site uit voorzorg afsluiten, bijvoorbeeld via .htaccess? Voor de meeste sites hoeft dat niet. Doe je het uit voorzorg toch, dan kan dat geen kwaad. Haal de blokkade na de update weer weg. Heb je een site met klantdata, lees dan het blok Belangrijk: geen 100% garantie. ### Wanneer is de update geïnstalleerd? PHP publiceert de fix om 16:00 uur. Daarna bouwt CloudLinux de pakketten voor onze servers, en dat kan enkele uren duren. We installeren ze zodra ze er zijn, ook 's avonds, en melden het op deze pagina. ### Hoe zet ik session.upload\_progress.enabled zelf uit? Host je bij ons, dan hoeft dat niet: wij hebben het op onze servers al uitgezet. Zet het ook niet zelf weer aan, bijvoorbeeld via een `.htaccess` of `.user.ini` van een oude installatie. Beheer je zelf een server, zet dan in je `php.ini`: ``` session.upload_progress.enabled = Off ``` Kun je niet bij de `php.ini`, dan kan het per website. Op ApacheKeurigOnline zegt [Apache](https://www.keurigonline.nl/begrippenlijst/apache)Apache HTTP Server is een open source webserver ontwikkeld door de Apache Software Foundation. met mod\_php of op LiteSpeedKeurigOnline zegt [LiteSpeed](https://www.keurigonline.nl/begrippenlijst/litespeed)LiteSpeed is een snelle webserver die tot 6 keer sneller is dan Apache en gebruikmaakt van een efficiënte event-driven architectuur. zet je in de `.htaccess` in de map van je website: ``` php_flag session.upload_progress.enabled off ``` Draait PHP via PHP-FPM, dan werkt `.htaccess` niet. Zet de regel uit de `php.ini` dan in een bestand `.user.ini` in de map van je website. Het kan tot vijf minuten duren voordat PHP dat bestand oppakt. ### Hoe weet ik of mijn website vatbaar is? In principe is elke website vatbaar die op een PHP-versie zonder de update draait, zolang `session.upload_progress` aanstaat. Wil je zelf zien hoe het bij jouw site staat? Zet tijdelijk een bestand `info.php` met de inhoud `