Das PHP-Entwicklerteam warnt vor einer weiteren Schwachstelle (CVE-2026-115560), die unter bestimmten Konfigurationen eine Remotecodeausführung (RCE) ermöglichen kann. Anders als bei den dringend geschlossenen PHP2Shell-Lücken handelt es sich hier um ein spezifisches Angriffsszenario, das durch die Deaktivierung der Funktion Session Upload Progress entschärft werden kann. Das Projekt stuft die Gefahr aufgrund der seltenen Voraussetzungen als gering ein und wird den Fehler erst im nächsten regulären Release beheben.
Die technische Grundlage der neuen Lücke
Die Schwachstelle mit der Kennung CVE-2026-115560 tritt nur unter sehr spezifischen Bedingungen auf. Eine Webanwendung ist nur dann angreifbar, wenn sie alle folgenden Kriterien erfüllt:
- Der Parameter session.serialize_handler wird in der Konfiguration zunächst auf php_binary oder php_serialize gesetzt.
- Während der Laufzeit wird dieser Wert mittels ini_set() auf php geändert, bevor session_start() aufgerufen wird.
- Die Option Session Upload Progress ist noch aktiv.
PHP betont, dass dieser Aufbau in der Praxis äußerst ungewöhnlich ist. Anwendungen, die den Serialisierungshandler während der Laufzeit nicht ändern, sind nicht betroffen – selbst wenn Session Upload Progress eingeschaltet bleibt. Das Problem entsteht erst durch die dynamische Änderung der Serialisierungsmethode.
Abgrenzung zu den PHP2Shell-Notfällen
Die aktuelle Warnung darf nicht mit den schwerwiegenden PHP2Shell-Lücken CVE-2026-109618 und CVE-2026-109619 verwechselt werden. Diese beiden kritischen Schwachstellen ermöglichten Angreifern ohne Authentifizierung die vollständige Codeausführung auf dem Server. Die dringenden Patches wurden in den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 ausgeliefert. CVE-2026-115560 ist eine separate Lücke, die durch diese Updates nicht geschlossen wird.
Bemerkenswert ist die Überschneidung bei der Gegenmaßnahme. Bereits im Advisory für CVE-2026-109619 empfahl PHP die Deaktivierung des Session Upload Progress als Absicherung. Wer die Einstellung session.upload_progress.enabled=0 also bereits gesetzt hat, ist automatisch auch gegen die neue Schwachstelle gefeit. PHP rät allen, die dies noch nicht getan haben, die Funktion bis zum Erscheinen des nächsten Bugfix-Releases zu deaktivieren.
Implikationen und ungeklärte Fragen
Das PHP-Team ließ in seinem Advisory offen, ob die neue Lücke eine gemeinsame Ursache mit CVE-2026-109619 hat. Die Nähe der empfohlenen Abhilfemaßnahmen legt eine Verwandtschaft in der Serialisierungskomponente nahe, eine offizielle Bestätigung steht jedoch aus. Genauen Angaben zu den betroffenen PHP-Versionen oder einem CVSS-Score machte das Projekt nicht. Diese Details sollen erst mit dem regulären Sicherheits-Update folgen, was für Administratorinnen und Administratoren eine gewisse Unsicherheit bedeutet. Sie müssen sich vorerst auf die allgemeine Empfehlung verlassen.
Aktuelle Bedrohungslage und Exploit-Versuche
Während für CVE-2026-115560 bisher keinerlei Exploit-Versuche dokumentiert sind, hat sich die Lage bei den beiden älteren PHP2Shell-Lücken dramatisch entwickelt. Honeypots von Amazon verzeichneten bereits am 17. Oktober – vier Tage vor der Veröffentlichung der Patches – einen ersten Exploit-Versuch. Cloudflare meldete einen Anstieg der Versuche von Zehntausenden unmittelbar nach dem Patch am 21. Oktober auf mehrere Millionen bis zum frühen 22. Oktober.
Angreifer versuchen dabei nach Erkenntnissen von Sophos und Arctic Wolf, eine Variante des Mirai-Botnets zu installieren. Diese Versuche blieben bislang jedoch ohne bestätigte Codeausführung. Sicherheitsforscher von Previdian und Wordfence berichten von intensivem Scannen und Sondieren, einem Fehlschlag der tatsächlichen Ausbeutung. Die Entwicklung eines verlässlichen Exploits gestaltet sich offenbar schwieriger als erwartet. Die aktuelle Angriffswelle zielt ausschließlich auf die am 21. Oktober geschlossenen Lücken ab, nicht auf die neu gemeldete Schwachstelle.
Handlungsempfehlung für Administratoren
PHP hat sich entschieden, für CVE-2026-115560 keinen außerplanmäßigen Notfall-Patch zu veröffentlichen, da die spezifische Konfiguration als selten gilt und keine aktiven Angriffe bekannt sind. Bis zur Auslieferung des Fixes im regulären Release gilt die klare Anweisung: Deaktivieren Sie Session Upload Progress in Ihrer PHP-Konfiguration. Da die Funktion standardmäßig aktiviert ist, sollten Administratorinnen und Administratoren ihre Installationen umgehend prüfen. Die aktuelle Situation zeigt einmal mehr die Bedeutung eines mehrschichtigen Sicherheitsansatzes. Nicht benötigte Funktionen konsequent abzuschalten und Patches zeitnah einzuspielen, bleibt die effektivste Verteidigung gegen bekannte und unbekannte Schwachstellen im PHP-Umfeld.
