Nur zwei Tage nach den jüngsten PHP2Shell-Sicherheitsupdates hat das PHP Security Team am 23. Oktober 2026 eine weitere RCE-Schwachstelle gemeldet: CVE-2026-115560. Auch aktualisierte Installationen können unter besonderen Konfigurationsbedingungen betroffen sein. Die Entwickler stufen die Voraussetzungen für eine Ausnutzung allerdings als ungewöhnlich ein.
Weitere PHP-Sicherheitslücke nach PHP2Shell
Am 21. Oktober reagierte das PHP-Projekt mit Sicherheitsupdates auf CVE-2026-109618 und CVE-2026-109619. Die neu gemeldete CVE-2026-115560 ist ein separates Problem und wird durch diese Updates nicht automatisch beseitigt. Die bisherigen PHP2Shell-Patches bleiben dennoch wichtig.
Wie funktioniert CVE-2026-115560?
Die Schwachstelle betrifft die Session-Verarbeitung beim PHP-Upload-Fortschritt. Für den beschriebenen Angriffsweg müssen mehrere Bedingungen zusammentreffen: Die Session-Konfiguration verwendet zunächst einen Serializer wie php_binary oder php_serialize, die Anwendung wechselt zur Laufzeit vor session_start() auf php, und session.upload_progress.enabled ist aktiviert.
Ein öffentlich verfügbarer Proof of Concept demonstriert die mögliche Codeausführung in einer speziell vorbereiteten Testumgebung. Das bedeutet nicht, dass beliebige PHP-Websites oder aktualisierte Server automatisch angreifbar sind.
Warum gibt es noch keinen Notfallpatch?
Das PHP Security Team bewertet die notwendige Konfiguration als ungewöhnlich und plant die Behebung in einem regulären PHP-Bugfix-Release. Bis dahin empfiehlt das Projekt eine Konfigurationsänderung.
Schutzmaßnahme: Upload Progress deaktivieren
Die empfohlene Einstellung lautet:
session.upload_progress.enabled = 0
Die Änderung muss in der wirksamen PHP-Serverkonfiguration vorgenommen werden, etwa in php.ini oder in einer passenden PHP-FPM-Konfiguration. Betroffene PHP-Prozesse müssen anschließend neu geladen beziehungsweise gestartet werden. Anwendungen, die die eingebaute Upload-Fortschrittsanzeige benötigen, sollten nach einer Änderung getestet werden. Eine erst zur Laufzeit ausgeführte Änderung per ini_set() reicht hierfür nicht aus.
Warum ein PHP-Versionscheck nicht genügt
Für CVE-2026-115560 hängt die praktische Verwundbarkeit neben der PHP-Version von den Session-Einstellungen und dem Anwendungscode ab. Ein externer Versionschecker kann das nicht abschließend bewerten. Auch Betreiber von WordPress, Shops und individuell entwickelten PHP-Systemen sollten deshalb die tatsächlich eingesetzte Konfiguration beachten, statt allein auf die Versionsnummer zu schauen.
Was Betreiber jetzt prüfen sollten
- Die bereits veröffentlichten PHP2Shell-Updates installieren und ihren Installationsstand kontrollieren.
- Prüfen, ob
session.upload_progress.enabled aktiv ist, und die Funktion nach Möglichkeit deaktivieren. - Eigene Anwendungen auf Laufzeitänderungen an
session.serialize_handler untersuchen. - Das nächste reguläre PHP-Update nach Veröffentlichung zeitnah einspielen.
Fazit
CVE-2026-115560 beschreibt einen weiteren möglichen RCE-Angriffsweg in PHP, dessen Ausnutzung nach dem bislang veröffentlichten Kenntnisstand sehr spezifische Voraussetzungen erfordert. Für Administratoren sind deshalb neben zeitnahen Sicherheitsupdates auch die Konfiguration des Servers und das Verhalten ihrer Anwendungen entscheidend.
Quellen
📂
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
