PHP-RCE-Risiko bleibt bis zum routinemäßigen Sicherheitsfix offen
Ein neu offengelegtes PHP-RCE-Risiko, also eine Schwachstelle, durch die ein Angreifer aus der Ferne Code auf einem Webserver ausführen könnte, bleibt ungepatcht, während das PHP-Projekt einen Fix für sein nächstes routinemäßiges Release vorbereitet. Das Problem wird unter CVE-2026-115560 geführt, einer öffentlichen Kennung zur Erfassung von Sicherheitslücken. PHP legte es am 23. Oktober in einem informativen Advisory offen und bezeichnete das praktische Risiko als unwahrscheinlich, da eine Ausnutzung eine ungewöhnliche Anwendungskonfiguration erfordert.
Der verwundbare Pfad besteht nur, wenn mehrere Bedingungen gleichzeitig erfüllt sind. Eine Webanwendung muss session.serialize_handler, die Einstellung zur Festlegung der Speicherung von Session-Daten, zunächst entweder als php_binary oder als php_serialize konfigurieren. Während der Ausführung muss die Anwendung dann ini_set(), eine PHP-Funktion zum Ändern einer Konfigurationsoption, aufrufen, um den Handler auf php umzustellen. Diese Änderung muss vor session_start() erfolgen, der Funktion, mit der die Session eines Besuchers gestartet oder fortgesetzt wird.
Außerdem muss session upload progress aktiviert sein. Diese standardmäßig aktivierte Funktion ermöglicht es einer Anwendung, den Fortschritt eines Datei-Uploads zu überwachen. Laut PHP sind Anwendungen, die ihren serialization handler während der Ausführung nicht ändern, über diesen Weg nicht gefährdet und können session upload progress aktiviert lassen. Das Projekt hält es für unwahrscheinlich, dass die vollständige Kombination der erforderlichen Einstellungen in der Praxis vorkommt.
Bis die dauerhafte Korrektur veröffentlicht wird, empfiehlt PHP, session.upload_progress.enabled=0 in die betreffende Konfiguration einzutragen. Diese Einstellung deaktiviert session upload progress. PHP hatte dieselbe Schutzmaßnahme bereits am 21. Oktober für CVE-2026-109619 empfohlen. Administratoren, die sie damals umgesetzt und seitdem beibehalten haben, müssen daher für CVE-2026-115560 keine weitere Änderung vornehmen.
Das neue PHP-RCE-Risiko ist von den beiden kritischen PHP2Shell-Schwachstellen getrennt, die mit dem Notfallupdate vom 21. Oktober behoben wurden. Diese früheren Schwachstellen, CVE-2026-109618 und CVE-2026-109619, ermöglichten es einem Angreifer ohne Benutzerkonto, Code auf einem Server auszuführen. Sie wurden in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Die Installation dieser Releases behebt CVE-2026-115560 nicht.
PHP hat weder angegeben, welche Versionen von dem neuen Problem betroffen sind, noch welche konkreten Releases den Fix enthalten oder welche Schweregradbewertung das Problem erhalten wird. Das Projekt hat außerdem nicht mitgeteilt, ob CVE-2026-115560 und CVE-2026-109619 dieselbe zugrunde liegende Ursache haben. Ein ausführlicheres Advisory wird zusammen mit dem nächsten routinemäßigen Bugfix-Release erwartet und nicht im Rahmen eines weiteren Notfallupdates.
Eine Ausnutzung von CVE-2026-115560 wurde bislang nicht gemeldet. Der seit dem 21. Oktober beobachtete Angriffsverkehr richtet sich gegen die beiden früheren PHP2Shell-Schwachstellen. Amazon teilte mit, dass seine honeypots, absichtlich öffentlich erreichbare Systeme zur Aufzeichnung feindlicher Aktivitäten, am 17. Oktober und damit vier Tage vor der öffentlichen Offenlegung einen Exploit-Versuch im Zusammenhang mit CVE-2026-109618 und CVE-2026-109619 registrierten. Cloudflare berichtete, dass die Zahl der Versuche von Zehntausenden während der ersten 45 Minuten nach der Offenlegung am 21. Oktober auf Millionen bis zum frühen 22. Oktober anstieg.
Laut Sophos und Arctic Wolf haben Angreifer versucht, die älteren Schwachstellen zur Installation einer Mirai botnet variant zu verwenden, also von Malware, die infizierte Systeme einem aus der Ferne kontrollierten Netzwerk hinzufügen soll. Diese Versuche sind bislang fehlgeschlagen. Previdian, Wordfence und andere Beobachter haben scanning und probing gemeldet, also automatisierte Prüfungen auf verwundbare Ziele, jedoch keine bestätigte Ausführung von Code. Forscher berichten außerdem, dass die Entwicklung eines zuverlässigen Exploits schwieriger als erwartet war. Diese Aktivitäten stellen keine Angriffe auf CVE-2026-115560 dar.
Websitebetreiber sollten zwischen den beiden erforderlichen Reaktionen unterscheiden. Die am 21. Oktober veröffentlichten korrigierten Versionen beheben CVE-2026-109618 und CVE-2026-109619, während die Deaktivierung von session upload progress die derzeitige Schutzmaßnahme für das neu offengelegte Problem ist. Administratoren, die PHP nicht direkt verwalten, sollten ihren Hosting-Anbieter oder Anwendungsentwickler fragen, ob die Website die von PHP beschriebene eng begrenzte Laufzeitkonfiguration verwendet und ob die vorübergehende Einstellung angewendet wurde.
Für Betreiber von WordPress-Websites, die einen verwalteten Dienst wünschen, bietet AEU Hosting durchgehend abgesichertes Managed WordPress Hosting an. Unabhängig vom Hosting-Modell sollten Websitebetreiber die Schutzmaßnahme aktiv lassen, bis PHP das routinemäßige Release mit dem dauerhaften Fix veröffentlicht hat und dieses installiert wurde.