---
title: Nieuwe PHP-beveiligingslek zonder onmiddellijke correctie
url: https://www.dataloco.com/nl/nieuwe-php-beveiligingslek-zonder-onmiddellijke-correctie
published: 2026-10-27T08:30:02+00:00
language: nl
section: Beveiliging
source: https://shiftdelete.net/php-yeni-guvenlik-acigi-cve-2026-115560
organizations: PHP, Cloudflare
publisher: Dataloco
---

# Nieuwe PHP-beveiligingslek zonder onmiddellijke correctie

Een nieuw beveiligingslek is ontdekt in PHP, dat een risico op het op afstand uitvoeren van code met zich meebrengt. Dit lek wordt gevolgd onder de code CVE-2026-115560.

Het lek beïnvloedt webapplicaties met specifieke sessieconfiguraties. Volgens een officiële aankondiging van het PHP-team op 23 oktober 2026 bevindt het risico op het op afstand uitvoeren van code zich in het sessiemechanisme dat de voortgang van bestandsuploads volgt. Omdat het lek alleen kan worden misbruikt wanneer een applicatie een zeer ongebruikelijke configuratie heeft, is er nog geen beveiligingspatch beschikbaar. Het PHP-team is van plan het probleem op te lossen in de volgende reguliere versie voor foutcorrecties in plaats van via een spoedupdate.

Om het lek te activeren moeten meerdere voorwaarden tegelijkertijd gelden. De configuratieoptie session.serialize_handler moet zijn ingesteld op php_binary of php_serialize. Vervolgens moet de applicatie tijdens de uitvoering de functie ini_set() gebruiken om deze waarde te wijzigen naar php, waarbij deze actie vóór de aanroep van session_start() moet plaatsvinden. Daarnaast moet de functie session.upload_progress.enabled, die standaard is ingeschakeld, actief zijn.

Dit nieuwe lek is volledig gescheiden van twee eerdere kritieke problemen, bekend als PHP2Shell, met de codes CVE-2026-109618 en CVE-2026-109619. Die eerdere lekken maakten het mogelijk om zonder authenticatie code op afstand uit te voeren op een server. PHP heeft hiervoor snel de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uitgebracht, maar deze updates dichten het nieuwe CVE-2026-115560 lek niet.

Als tijdelijke maatregel raden PHP-ontwikkelaars aan om de waarde session.upload_progress.enabled=0 in de PHP-configuratie te gebruiken om de functie voor het volgen van uploadvoortgang uit te schakelen. Cloudflare meldde op 23 oktober dat de huidige regels van de webapplicatie-firewall bekende pogingen tot aanvallen op dit lek blokkeren, mits applicaties de standaardnaam voor het uploadvoortgangsveld van PHP gebruiken.

Er zijn nog geen rapporten dat CVE-2026-115560 wordt gebruikt in actieve aanvallen. Bij de eerdere lekken werd vastgesteld dat aanvallers probeerden de malware Potassium uit de Mirai-botnetfamilie te installeren. Hoewel er scans en pogingen tot exploitatie zijn waargenomen, zijn er geen bevestigde bevindingen dat er succesvol code op afstand is uitgevoerd via die lekken.

## This story in other languages

- [हिन्दी](https://www.dataloco.com/hi/php-ma-naii-sarakashha-khama-ka-pata-cal-paca-abha-upalbthha-naha)
- [Deutsch](https://www.dataloco.com/de/kritische-php-schwachstelle-cve-2026-115560-ohne-vorlaufiges-sicherheitsupdate)
- [Español](https://www.dataloco.com/es/nuevo-agujero-de-seguridad-en-php-detectado-sin-parche-disponible-aun)
- [Italiano](https://www.dataloco.com/it/nuova-vulnerabilita-php-senza-patch-immediata-espone-al-rischio-di-esecuzione-remota-di-codice)
- [Svenska](https://www.dataloco.com/sv/php-sakerhetsbrist-utan-tillfallig-losning)