Io questo problema l'ho riscontrato su IE e ancora non ho trovato soluzione.

Per risolverlo devi togliere session_start()

Se come nel mio caso ti serve controllare se un utente è loggato devi inventarti un controllo alternativo, io ad esempio mi passo dei valori hashati per vedere se ha cliccato il link da utente loggato.

In questo modo i file sono aperti a tutti ma soltanto gli utenti loggati e proprietari del file possono conoscere il link giusto che è composto da una stringa fissa e 2 stringhe variabili di 32 carateri.

Ciao