{"id":55577,"date":"2026-10-23T14:46:42","date_gmt":"2026-10-23T12:46:42","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=55577"},"modified":"2026-10-23T14:46:42","modified_gmt":"2026-10-23T12:46:42","slug":"php-warnt-rce-luecke-session-upload-55577","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/php-warnt-rce-luecke-session-upload-55577\/","title":{"rendered":"PHP warnt vor weiterer RCE-L\u00fccke und r\u00e4t zu Abschalten von Session Upload Progress"},"content":{"rendered":"<p>Das <a href=\"https:\/\/www.php.net\/\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">PHP-Entwicklerteam<\/a> warnt vor einer weiteren Schwachstelle (CVE-2026-115560), die unter bestimmten Konfigurationen eine Remotecodeausf\u00fchrung (RCE) erm\u00f6glichen kann. Anders als bei den dringend geschlossenen PHP2Shell-L\u00fccken handelt es sich hier um ein spezifisches Angriffsszenario, das durch die Deaktivierung der Funktion <strong>Session Upload Progress<\/strong> entsch\u00e4rft werden kann. Das Projekt stuft die Gefahr aufgrund der seltenen Voraussetzungen als gering ein und wird den Fehler erst im n\u00e4chsten regul\u00e4ren Release beheben.<\/p>\n<h2>Die technische Grundlage der neuen L\u00fccke<\/h2>\n<p>Die Schwachstelle mit der Kennung <strong>CVE-2026-115560<\/strong> tritt nur unter sehr spezifischen Bedingungen auf. Eine Webanwendung ist nur dann angreifbar, wenn sie alle folgenden Kriterien erf\u00fcllt:<\/p>\n<ul>\n<li>Der Parameter <strong>session.serialize_handler<\/strong> wird in der Konfiguration zun\u00e4chst auf php_binary oder php_serialize gesetzt.<\/li>\n<li>W\u00e4hrend der Laufzeit wird dieser Wert mittels ini_set() auf php ge\u00e4ndert, bevor session_start() aufgerufen wird.<\/li>\n<li>Die Option <strong>Session Upload Progress<\/strong> ist noch aktiv.<\/li>\n<\/ul>\n<p>PHP betont, dass dieser Aufbau in der Praxis \u00e4u\u00dferst ungew\u00f6hnlich ist. Anwendungen, die den Serialisierungshandler w\u00e4hrend der Laufzeit nicht \u00e4ndern, sind nicht betroffen \u2013 selbst wenn Session Upload Progress eingeschaltet bleibt. Das Problem entsteht erst durch die dynamische \u00c4nderung der Serialisierungsmethode.<\/p>\n<h2>Abgrenzung zu den PHP2Shell-Notf\u00e4llen<\/h2>\n<p>Die aktuelle Warnung darf nicht mit den schwerwiegenden PHP2Shell-L\u00fccken <strong>CVE-2026-109618<\/strong> und <strong>CVE-2026-109619<\/strong> verwechselt werden. Diese beiden kritischen Schwachstellen erm\u00f6glichten Angreifern ohne Authentifizierung die vollst\u00e4ndige Codeausf\u00fchrung auf dem Server. Die dringenden Patches wurden in den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 ausgeliefert. CVE-2026-115560 ist eine separate L\u00fccke, die durch diese Updates nicht geschlossen wird.<\/p>\n<p>Bemerkenswert ist die \u00dcberschneidung bei der Gegenma\u00dfnahme. Bereits im Advisory f\u00fcr CVE-2026-109619 empfahl PHP die Deaktivierung des Session Upload Progress als Absicherung. Wer die Einstellung <strong>session.upload_progress.enabled=0<\/strong> also bereits gesetzt hat, ist automatisch auch gegen die neue Schwachstelle gefeit. PHP r\u00e4t allen, die dies noch nicht getan haben, die Funktion bis zum Erscheinen des n\u00e4chsten Bugfix-Releases zu deaktivieren.<\/p>\n<h2>Implikationen und ungekl\u00e4rte Fragen<\/h2>\n<p>Das PHP-Team lie\u00df in seinem Advisory offen, ob die neue L\u00fccke eine gemeinsame Ursache mit CVE-2026-109619 hat. Die N\u00e4he der empfohlenen Abhilfema\u00dfnahmen legt eine Verwandtschaft in der Serialisierungskomponente nahe, eine offizielle Best\u00e4tigung steht jedoch aus. Genauen Angaben zu den betroffenen PHP-Versionen oder einem CVSS-Score machte das Projekt nicht. Diese Details sollen erst mit dem regul\u00e4ren Sicherheits-Update folgen, was f\u00fcr Administratorinnen und Administratoren eine gewisse Unsicherheit bedeutet. Sie m\u00fcssen sich vorerst auf die allgemeine Empfehlung verlassen.<\/p>\n<h2>Aktuelle Bedrohungslage und Exploit-Versuche<\/h2>\n<p>W\u00e4hrend f\u00fcr <strong>CVE-2026-115560<\/strong> bisher keinerlei Exploit-Versuche dokumentiert sind, hat sich die Lage bei den beiden \u00e4lteren PHP2Shell-L\u00fccken dramatisch entwickelt. Honeypots von Amazon verzeichneten bereits am 17. Oktober \u2013 vier Tage vor der Ver\u00f6ffentlichung der Patches \u2013 einen ersten Exploit-Versuch. Cloudflare meldete einen Anstieg der Versuche von Zehntausenden unmittelbar nach dem Patch am 21. Oktober auf mehrere Millionen bis zum fr\u00fchen 22. Oktober.<\/p>\n<p>Angreifer versuchen dabei nach Erkenntnissen von Sophos und Arctic Wolf, eine Variante des Mirai-Botnets zu installieren. Diese Versuche blieben bislang jedoch ohne best\u00e4tigte Codeausf\u00fchrung. Sicherheitsforscher von Previdian und Wordfence berichten von intensivem Scannen und Sondieren, einem Fehlschlag der tats\u00e4chlichen Ausbeutung. Die Entwicklung eines verl\u00e4sslichen Exploits gestaltet sich offenbar schwieriger als erwartet. Die aktuelle Angriffswelle zielt ausschlie\u00dflich auf die am 21. Oktober geschlossenen L\u00fccken ab, nicht auf die neu gemeldete Schwachstelle.<\/p>\n<h2>Handlungsempfehlung f\u00fcr Administratoren<\/h2>\n<p>PHP hat sich entschieden, f\u00fcr CVE-2026-115560 keinen au\u00dferplanm\u00e4\u00dfigen <a href=\"https:\/\/overcentral.com\/de\/papercut-notfall-patch-sicherheitsluecken-50326\/\" title=\"PaperCut ver\u00f6ffentlicht zweiten Notfall-Patch f\u00fcr aktiv ausgenutzte Sicherheitsl\u00fccken\" data-iacss-internal=\"1\">Notfall-Patch<\/a> zu ver\u00f6ffentlichen, da die spezifische Konfiguration als selten gilt und keine aktiven Angriffe bekannt sind. Bis zur Auslieferung des Fixes im regul\u00e4ren Release gilt die klare Anweisung: Deaktivieren Sie <strong>Session Upload Progress<\/strong> in Ihrer PHP-Konfiguration. Da die Funktion standardm\u00e4\u00dfig aktiviert ist, sollten Administratorinnen und Administratoren ihre Installationen umgehend pr\u00fcfen. Die aktuelle Situation zeigt einmal mehr die Bedeutung eines mehrschichtigen Sicherheitsansatzes. Nicht ben\u00f6tigte Funktionen konsequent abzuschalten und Patches zeitnah einzuspielen, bleibt die effektivste Verteidigung gegen bekannte und unbekannte Schwachstellen im PHP-Umfeld.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Das PHP-Entwicklerteam warnt vor einer weiteren Schwachstelle (CVE-2026-115560), die unter bestimmten Konfigurationen eine Remotecodeausf\u00fchrung (RCE) erm\u00f6glichen kann. Anders als bei den dringend geschlossenen PHP2Shell-L\u00fccken handelt es sich hier um ein spezifisches Angriffsszenario, das durch die Deaktivierung der Funktion Session Upload Progress entsch\u00e4rft werden kann. Das Projekt stuft die Gefahr aufgrund der seltenen Voraussetzungen als gering [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":55580,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55577.png","fifu_image_alt":"PHP warnt vor weiterer RCE-L\u00fccke und r\u00e4t zu Abschalten von Session Upload","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-55577","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55577.png","fifu_image_alt":"PHP warnt vor weiterer RCE-L\u00fccke und r\u00e4t zu Abschalten von Session Upload","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55577","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=55577"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55577\/revisions"}],"predecessor-version":[{"id":55579,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55577\/revisions\/55579"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55580"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=55577"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=55577"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=55577"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}