In PHP neue Sicherheitslücke CVE-2026-115560 entdeckt
Das PHP-Team hat am 23. Oktober vor einer neuen Sicherheitslücke gewarnt, CVE-2026-115560, die die Ausführung von Code auf einem Webserver aus der Ferne ermöglicht. Die Warnung erschien zwei Tage nach der Veröffentlichung der Notfallkorrekturen für die kritischen PHP2Shell-Schwachstellen.
Betroffen sind nur Anwendungen mit einer ungewöhnlichen Konfiguration, weshalb die Entwickler eine Ausnutzung für unwahrscheinlich halten. Ein außerplanmäßiges Update ist nicht vorgesehen. Bis zur nächsten regulären Version empfehlen die Fachleute, die Überwachung des Upload-Fortschritts in der Sitzung (session upload progress) zu deaktivieren.
Die Lücke tritt nur auf, wenn drei Bedingungen gleichzeitig erfüllt sind. Erstens hat der Parameter session.serialize_handler den Wert php_binary oder php_serialize. Zweitens setzt die Anwendung ihn zur Laufzeit per ini_set() auf php, und zwar vor dem Aufruf von session_start(). Drittens ist die Funktion session upload progress aktiviert, was standardmäßig der Fall ist.
Zum Schutz muss session.upload_progress.enabled=0 in der Serverkonfiguration gesetzt werden, nicht im Anwendungscode, und alle PHP-Worker-Prozesse müssen neu gestartet werden. Dieselbe Maßnahme hatte das PHP-Team bereits am 21. Oktober im Bulletin GHSA-6wmf-4rv5-p3rp als Schutz vor CVE-2026-109619 genannt, einer der PHP2Shell-Schwachstellen. Wurde die Einstellung damals übernommen und nicht zurückgenommen, sind keine weiteren Schritte nötig. Experten raten zudem, die Funktion auch nach der Installation der Korrekturen nicht wieder zu aktivieren, wenn sie nicht benötigt wird: Angreifer suchen zunehmend Schwachstellen in diesem selten genutzten und kaum getesteten Mechanismus.
Laut The Hacker News beheben die am 21. Oktober erschienenen Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 die neue Lücke nicht. Die Korrektur folgt im regulären Veröffentlichungszyklus, und das vollständige Bulletin zu CVE-2026-115560 erscheint zusammen mit der nächsten Version. Welche Versionen betroffen sind, in welchen Builds die Korrektur enthalten sein wird und wie gravierend die Bedrohung ist, wurde bislang nicht mitgeteilt. Ebenso ist unklar, ob das Problem mit CVE-2026-109619 zusammenhängt. Berichte über eine Ausnutzung in realen Angriffen liegen nicht vor.
Unterdessen halten die Versuche an, die PHP2Shell-Schwachstellen CVE-2026-109618 und CVE-2026-109619 auszunutzen. Die Honeypots von Amazon registrierten bereits am 17. Oktober einen Versuch, vier Tage vor der öffentlichen Bekanntgabe. Laut Cloudflare stieg die Zahl der Versuche von Zehntausenden in den ersten 45 Minuten nach der Offenlegung am 21. Oktober auf Millionen bis zum Morgen des 22. Oktober. Sophos und Arctic Wolf berichten, dass Angreifer versuchten, eine Variante des Mirai-Botnetzes zu installieren, bislang ohne Erfolg. Previdian, Wordfence und andere Unternehmen melden lediglich Scans und Überprüfungen von Servern, aber keine bestätigten Fälle von Codeausführung. Nach Einschätzung der Forscher erwies sich die Entwicklung eines zuverlässigen Exploits als schwieriger als erwartet. Diese Aktivität betrifft die beiden am 21. Oktober behobenen Schwachstellen, nicht CVE-2026-115560.