CVE-2026-115560: Dritte PHP2Shell-Schwachstelle entdeckt. So schützen Sie Server und Websites

Kaum sind die beiden PHP-Schwachstellen gepatcht, betrifft eine neue Sicherheitslücke PHP, eine der weltweit am häufigsten verwendeten Programmiersprachen für die Entwicklung von Websites und Online-Anwendungen. Die als CVE-2026-115560 identifizierte Schwachstelle könnte bei bestimmten Serverkonfigurationen die Remote-Ausführung von Code ermöglichen. Stand 26. Oktober 2026 ist noch kein endgültiger Patch verfügbar, aber das PHP Security Team hat bereits eine vorübergehende Schutzmaßnahme angegeben.

Die Meldung erfolgt wenige Tage nach der Entdeckung von zwei weiteren kritischen Schwachstellen, CVE-2026-109618 und CVE-2026-109619, die unter dem Namen PHP2Shell bekannt sind und international dringende Sicherheitsupdates erforderlich gemacht haben.

Die Situation hat die Aufmerksamkeit der wichtigsten Cybersicherheitsorganisationen auf sich gezogen, darunter das CSIRT Italia der Agenzia per la Cybersicurezza Nazionale (ACN), das am 25. Oktober 2026 eine neue Warnmeldung veröffentlichte und Systemadministratoren, Hosting-Anbieter und IT-Verantwortliche dazu aufforderte, die Sicherheit ihrer Infrastrukturen zeitnah zu überprüfen.

Was ist die Schwachstelle CVE-2026-115560?

CVE-2026-115560 ist eine Schwachstelle, die im Sitzungsverwaltungssystem von PHP entdeckt wurde.

PHP wird von Millionen von Websites verwendet und ist ein grundlegender Bestandteil zahlreicher Plattformen, darunter WordPress, Drupal, Joomla und verschiedene E-Commerce-Systeme.

Die neue Schwachstelle betrifft eine Funktion mit der Bezeichnung session upload progress, die zur Überwachung des Fortschritts beim Hochladen von Dateien über PHP-Sitzungen verwendet wird.

Laut dem PHP Security Team könnte eine bestimmte Kombination von Konfigurationen und durch die Anwendung ausgeführten Vorgängen die Voraussetzungen für eine Schwachstelle vom Typ Remote Code Execution (RCE).

Eine RCE-Schwachstelle kann einem Angreifer ermöglichen, Anweisungen auf dem Remote-Server auszuführen, mit potenziell schwerwiegenden Folgen für die Sicherheit der Systeme.

Zu den möglichen Auswirkungen gehören:

• Unbefugter Zugriff auf Daten und Dateien, die auf dem Server gespeichert sind.
• Änderung oder Kompromittierung der Inhalte von Websites.
• Installation von Schadcode.
• Unterbrechung von Diensten.
• Mögliche Kompromittierung anderer Ressourcen, auf die der PHP-Prozess zugreifen kann.

Es ist wichtig klarzustellen, dass es sich hierbei um potenzielle Auswirkungen einer möglichen Kompromittierung handelt und nicht um Folgen, die automatisch mit dem Vorhandensein der Schwachstelle verbunden sind.

Wie funktioniert die neue PHP-Schwachstelle?

Im Gegensatz zu den ersten beiden PHP2Shell-Schwachstellen erfordert CVE-2026-115560 eine relativ seltene Kombination von Anwendungsbedingungen.

Laut der offiziellen Warnmeldung des PHP Security Team müssen vier Bedingungen gleichzeitig erfüllt sein.

1. Anfängliche Konfiguration des Sitzungsmanagers

Der PHP-Parameter session.serialize_handler muss zunächst mit einem der folgenden Werte konfiguriert werden:

php_binary

oder

php_serialize

2. Dynamische Änderung der Konfiguration

Die Anwendung muss anschließend den Parameter ändern und ihn auf php mithilfe der Funktion ini_set().

3. Änderung vor dem Start der Sitzung

Die Änderung muss vor der Ausführung der Funktion session_start().

4. Upload-Überwachung aktiviert

Die Funktionalität session.upload_progress.enabled muss aktiviert sein.

Nur wenn diese Bedingungen gleichzeitig erfüllt sind, kann der vom Hersteller beschriebene Schwachstellenpfad auftreten.

Dieser Aspekt ist entscheidend: Nicht alle PHP-Installationen sind automatisch für CVE-2026-115560 anfällig.

Das PHP Security Team hält diese Kombination für ungewöhnlich und hat die Behebung daher im Rahmen des regulären Update-Zyklus vorgesehen, anstatt ein weiteres außerplanmäßiges Release bereitzustellen.

CVE-2026-115560: Warum gibt es noch keinen Patch?

Am 23. Oktober 2026 veröffentlichte das PHP Security Team einen Informationshinweis zur neuen Schwachstelle.

Im Gegensatz zu den vorherigen Sicherheitslücken, für die am 21. Oktober dringende Updates bereitgestellt wurden, wurde das neue Problem in den üblicherweise verwendeten Anwendungskonfigurationen als weniger leicht ausnutzbar eingestuft.

Aus diesem Grund beschlossen die PHP-Entwickler, die Behebung in das nächste reguläre Update aufzunehmen.

Am 26. Oktober 2026 befindet sich der öffentliche CVE-Eintrag noch im Status RESERVED.

Das bedeutet, dass die Kennung vergeben wurde, der zugehörige Eintrag jedoch noch nicht alle endgültigen technischen Details enthält.

Der Status RESERVED bedeutet nicht, dass die Schwachstelle nicht existiert: Das Problem wurde bereits vom PHP Security Team durch einen offiziellen Hinweis bestätigt.

Bis zum Update ist jedoch eine spezifische Minderungsmaßnahme verfügbar.

So schützen Sie sich vor CVE-2026-115560: die vorläufige Lösung

Die wichtigste von den PHP-Entwicklern empfohlene Schutzmaßnahme besteht darin, die Funktion zur Überwachung des Upload-Fortschritts zu deaktivieren.

Die anzuwendende Konfiguration lautet:

session.upload_progress.enabled = 0

Diese Direktive muss in der PHP-Konfiguration gesetzt werden, die tatsächlich vom Webserver verwendet wird.

Die Maßnahme deaktiviert die native Funktion, die Anwendungen über PHP-Sitzungen Informationen zum Fortschritt von Uploads bereitstellt.

Das Hochladen von Dateien auf den Server wird dadurch nicht deaktiviert, kann jedoch Anwendungen beeinträchtigen, die diese Funktion gezielt nutzen, um den Fortschritt von Übertragungen anzuzeigen.

Vor der Umsetzung der Änderung in Produktionsumgebungen sollten daher mögliche Anwendungsabhängigkeiten überprüft werden.

Wo sollte die PHP-Konfiguration geändert werden?

Die Vorgehensweise hängt von der verwendeten Infrastruktur ab.

Auf einem dedizierten Server oder VPS kann ein Administrator in der Regel die PHP-Konfiguration sowie die Parameter des PHP-FPM-Dienstes oder des Webservers anpassen.

In Shared-Hosting-Umgebungen können einige Einstellungen hingegen zentral vom Provider verwaltet werden.

Es ist wichtig zu betonen, dass die Änderung angewendet werden muss vor der Verarbeitung der betroffenen Anfragen.

Nach den technischen Hinweisen von Red Hat stellt eine über ini_set() oder über eine Datei .user.ini vorgenommene Änderung nicht zwangsläufig eine angemessene Mitigation für dieses Szenario dar, da sie möglicherweise zu spät im Verarbeitungszyklus der Anfrage greift.

In direkt verwalteten PHP-FPM-Umgebungen kann es sinnvoll sein, administrative Konfigurationen zu verwenden, die verhindern, dass Anwendungen den Parameter erneut aktivieren.

Nach der Maßnahme muss überprüft werden, dass alle betroffenen PHP-Prozesse tatsächlich die neue Konfiguration verwenden.

Das bloße Einfügen der Direktive in eine Datei garantiert allein nicht, dass der Schutz aktiv ist.

Wie lässt sich überprüfen, ob der Server geschützt ist?

Zur Überprüfung der PHP-Konfiguration können vom Provider bereitgestellte Diagnosetools verwendet oder eine Prüfung über die vom Website verwendete PHP-Umgebung durchgeführt werden.

Eine der zu überprüfenden Angaben ist der tatsächliche Wert von:

session.upload_progress.enabled

Der Parameter sollte deaktiviert sein, mit dem Wert 0 oder Off.

Die Überprüfung muss die Webumgebung betreffen und nicht nur über das Terminal ausgeführtes PHP, da die Konfigurationen unterschiedlich sein können.

Auf direkt verwalteten Servern sollte zudem überprüft werden, dass keine Anwendungs- oder Verzeichniskonfigurationen vorhanden sind, die die Funktion erneut aktivieren können.

Aus Sicherheitsgründen müssen temporäre Diagnoseseiten mit Informationen zur PHP-Konfiguration unmittelbar nach der Überprüfung entfernt werden.

PHP2Shell: Was sind die anderen beiden Sicherheitslücken?

CVE-2026-115560 kommt zu zwei kritischen Sicherheitslücken hinzu, die am 21. Oktober 2026 veröffentlicht wurden:

CVE-2026-109618

Eine Sicherheitslücke im Zusammenhang mit der Speicherverwaltung bei der Verarbeitung von PHP-Anfragen, die potenziell ausgenutzt werden kann, um Speicherbeschädigungen zu verursachen und unter bestimmten Umständen beliebigen Code auszuführen.

CVE-2026-109619

Eine zweite Sicherheitslücke, die die Verwaltung des internen Zustands und des Speichers von PHP betrifft und mögliche Auswirkungen auf die Sicherheit der Prozesse hat, die Webanfragen verarbeiten.

Beide wurden mit einem CVSS-v4.0-Score von 9,2 eingestuft, was einem kritischen Schweregrad entspricht.

Um sie zu beheben, hat das PHP Security Team die folgenden Versionen veröffentlicht:

PHP-Versionen 8.1 und frühere erhalten vom PHP-Projekt keinen regulären Sicherheitssupport mehr.

Einige Provider und Betreuer von Linux-Distributionen können jedoch auch für ältere Versionen spezifische Korrekturen bereitstellen.

Es ist wichtig zu beachten, dass die am 21. Oktober veröffentlichten Updates die ersten beiden Sicherheitslücken beheben, jedoch CVE-2026-115560 nicht lösen.

PHP2Shell-Alarm in Italien: die Daten des CSIRT

Am 25. Oktober 2026 veröffentlichte CSIRT Italia eine Warnmeldung zur Exponierung von PHP-Diensten im gesamten Staatsgebiet.

Nach den von der Agenzia per la Cybersicurezza Nazionale gemeldeten Daten verwenden 285.149 von 741.523 in Italien erfassten PHP-Diensten Versionen, die potenziell für die PHP2Shell-Schwachstellen anfällig sind.

Der Wert entspricht 81,9 % der Dienste, für die es möglich war, die installierte PHP-Version zu identifizieren.

Die Angabe darf nicht als Prozentsatz bezogen auf die Gesamtheit der erfassten Dienste interpretiert werden.

Darüber hinaus könnten einige Installationen von ihren jeweiligen Anbietern bereitgestellte Sicherheitskorrekturen erhalten haben, ohne dass sich die von außen sichtbare Versionsnummer geändert hat.

Die Informationen verdeutlichen jedoch die Notwendigkeit, das Management von Updates und Sicherheitskonfigurationen zu verbessern.

WordPress und CVE-2026-115560: Sind Websites gefährdet?

WordPress verwendet PHP als serverseitige Programmiersprache.

Folglich stellt die Sicherheit der PHP-Umgebung ein grundlegendes Element für den Schutz einer WordPress-Website dar.

Das Vorhandensein von WordPress bedeutet jedoch nicht automatisch, dass eine Website für CVE-2026-115560 anfällig ist.

Die tatsächliche Gefährdung hängt von den PHP-Konfigurationen und dem Verhalten des Anwendungscodes ab, einschließlich etwaiger Plugins oder benutzerdefinierter Komponenten.

Eine aktualisierte WordPress-Website könnte dennoch eine unsicher konfigurierte PHP-Umgebung verwenden.

Umgekehrt könnte eine WordPress-Installation, die auf einem korrekt konfigurierten Server gehostet wird, die für die Ausnutzung der neuen Schwachstelle erforderlichen Bedingungen nicht aufweisen.

Aus diesem Grund muss die Sicherheit auf mehreren Ebenen bewertet werden: Anwendung, Plugin, Theme, PHP-Interpreter und Hosting-Infrastruktur.

Weitere empfohlene Sicherheitsmaßnahmen

Neben der Deaktivierung von session.upload_progress.enabled, empfiehlt es sich, eine umfassende Schutzstrategie umzusetzen.

PHP und Anwendungskomponenten aktualisieren

PHP-Versionen müssen aktuell gehalten werden, wobei auch die tatsächliche Anwendung der vom Provider bereitgestellten Korrekturen überprüft werden sollte.

Sitzungskonfigurationen überprüfen

Entwickler sollten überprüfen, ob der Code ini_set() verwendet, um dynamisch session.serialize_handler.

Eine Web Application Firewall aktivieren

Ein entsprechend konfiguriertes WAF kann dazu beitragen, bösartige Anfragen zu blockieren, insbesondere wenn spezifische Regeln für die identifizierten Schwachstellen verfügbar sind.

Das WAF darf jedoch nicht als Ersatz für Patches oder vom Hersteller empfohlene Gegenmaßnahmen betrachtet werden.

Logs überwachen

Es wird empfohlen, ungewöhnliche HTTP-Anfragen, Speicherfehler, unerwartete Unterbrechungen von PHP-Prozessen und andere potenziell verdächtige Aktivitäten zu analysieren.

Die Integrität von Websites überprüfen

In CMS-Systemen sollte das Vorhandensein unbekannter Dateien, unerwarteter Änderungen und neuer nicht autorisierter Administratorkonten überprüft werden.

Aktuelle Backups vorhalten

Backups müssen in geschützten Umgebungen aufbewahrt und, wenn möglich, vom Produktionsserver getrennt werden. Es ist wichtig, ihre Wiederherstellbarkeit regelmäßig zu überprüfen.

Den Hosting-Provider kontaktieren

Wer Shared-Hosting-Dienste nutzt, sollte eine ausdrückliche Bestätigung über die Anwendung der Maßnahmen zu CVE-2026-115560 einholen.

In Fällen, in denen Updates oder wirksame Schutzmaßnahmen nicht angewendet werden können, empfiehlt CSIRT Italia, die vorübergehende Deaktivierung der anfälligen Dienste zu prüfen.

CVE-2026-115560: Was wird in den nächsten Tagen passieren?

Das PHP Security Team hat mitgeteilt, dass die Behebung der neuen Schwachstelle im nächsten regulären Update enthalten sein wird.

Bis zur Veröffentlichung des Patches bleibt die wichtigste Empfehlung die Deaktivierung der Funktion session.upload_progress.enabled in Umgebungen, die diese Schutzmaßnahme erfordern.

Administratoren sollten zudem die vom PHP-Projekt, den Anbietern von Linux-Distributionen und den nationalen Cybersicherheitsbehörden veröffentlichten Updates verfolgen.

Die Situation könnte sich mit der Veröffentlichung weiterer technischer Details, neuer Erkennungstools und korrigierender Updates weiterentwickeln.

Fazit: Heute vorbeugen, um die Systeme von morgen zu schützen

Die Entdeckung von CVE-2026-115560 bestätigt, wie wichtig es ist, Cybersicherheit als kontinuierlichen Prozess zu betrachten.

Auch etablierte und weit verbreitete Komponenten wie der PHP-Interpreter können Schwachstellen aufweisen, die zeitnahe Maßnahmen erfordern.

Obwohl die neue Schwachstelle eher ungewöhnliche Anwendungsbedingungen erfordert, machen die potenziellen Folgen einer Remotecodeausführung eine vorbeugende Überprüfung angebracht.

Priorität hat, sicherzustellen, dass die ersten beiden PHP2Shell-Schwachstellen behoben wurden und die Mitigation für CVE-2026-115560 dort, wo erforderlich, tatsächlich angewendet wird.

Bis zur endgültigen Patch-Veröffentlichung sind Updates, sichere Konfigurationen, Monitoring und die Zusammenarbeit mit dem eigenen Hosting-Provider die wichtigsten Instrumente, um das Risiko einer Kompromittierung zu verringern.

Artikel aktualisiert am 26. Oktober 2026. Die technischen Informationen und Mitigationsmaßnahmen könnten sich mit der Veröffentlichung neuer Sicherheitsupdates ändern.