AKTUELL
Neue PHP-Sicherheitslücke betrifft ungewöhnliche Session-Konfigurationen
Eine neue PHP-Sicherheitslücke kann unter bestimmten Bedingungen die Ausführung fremden Codes auf einem Webserver ermöglichen. Das PHP-Projekt hat den Fehler CVE-2026-115560 am 23. Oktober bestätigt und eine vorläufige Schutzmaßnahme veröffentlicht. Betroffen ist eine ungewöhnliche Kombination aus Servereinstellungen und Anwendungscode; die Sicherheitsupdates vom 21. Oktober beheben diesen zusätzlichen Angriffsweg noch nicht.
Für Betreiber bereits aktualisierter Websites lohnt sich deshalb eine gezielte Nachfrage beim Hostinganbieter oder der zuständigen Administration. Entscheidend ist diesmal nicht allein die installierte Versionsnummer, sondern auch, wie die Anwendung ihre Sitzungsdaten verarbeitet. Eine pauschale Warnung vor jeder PHP-Website lässt sich aus der Meldung nicht ableiten.
Wann die neue PHP-Sicherheitslücke auftreten kann
Nach der offiziellen PHP-Mitteilung müssen mehrere Voraussetzungen zusammenkommen. Zunächst muss die Einstellung session.serialize_handler auf php_binary oder php_serialize stehen. Die Anwendung muss diesen Wert anschließend während ihrer Ausführung mit ini_set() auf php umstellen, bevor sie session_start() aufruft. Gleichzeitig muss die Fortschrittserfassung für Datei-Uploads über Sessions eingeschaltet sein.
Diese technischen Namen beschreiben unterschiedliche Arten, Sitzungsdaten zu speichern und wieder einzulesen. Solche Daten helfen einer Webanwendung beispielsweise dabei, einen Besucher über mehrere Seitenaufrufe hinweg wiederzuerkennen. Der entscheidende Sonderfall ist der Wechsel des Speicherformats während der Ausführung.
Anwendungen, die diesen Handler nicht zur Laufzeit ändern, sind laut PHP von dem beschriebenen Angriffsweg nicht betroffen. Sie dürfen die Upload-Fortschrittsfunktion eingeschaltet lassen. Das ist eine wichtige Einschränkung gegenüber den wesentlich breiter angelegten Warnungen der vergangenen Tage.
Eine Einstellung schließt den beschriebenen Angriffsweg
Bis zur Korrektur empfiehlt PHP, die Einstellung session.upload_progress.enabled auf 0 zu setzen. Damit wird die integrierte Erfassung des Upload-Fortschritts über Sessions abgeschaltet. Wer diese Maßnahme bereits wegen CVE-2026-109619 umgesetzt hat, soll sie beibehalten und muss für die neue Lücke nichts Zusätzliches unternehmen.
Bei der Umsetzung kommt es darauf an, dass die Änderung tatsächlich für die laufenden Serverprozesse gilt. Die aktualisierte CERT-EU-Warnung verlangt neben der Einstellung den Neustart sämtlicher PHP-Arbeitsprozesse. Die technische PHP-Sicherheitsbeschreibung erläutert, dass die administrative Konfiguration vor der Verarbeitung einer Anfrage greifen muss. Eine Änderung erst im Anwendungsskript reicht für diese Schutzmaßnahme nicht aus.
Datei-Uploads werden dadurch nicht allgemein abgeschaltet
Die Einstellung betrifft eine bestimmte PHP-Funktion, mit der Anwendungen den Fortschritt einzelner Dateiübertragungen abfragen können. Das PHP-Handbuch zur Upload-Fortschrittserfassung beschreibt dafür einen getrennten Abruf während des laufenden Uploads. Die Informationen werden in der Session abgelegt.
Daraus folgt: Das Abschalten dieser Erfassung ist kein allgemeines Verbot, Dateien auf den Server hochzuladen. Eine Anwendung, die ihre Fortschrittsanzeige auf genau diese Funktion stützt, kann allerdings diese Anzeige verlieren. Andere technische Lösungen zur Fortschrittsanzeige müssen davon nicht betroffen sein. Nach einer Änderung sollten Betreiber deshalb die betroffenen Upload-Abläufe prüfen.
Die bisherigen Sicherheitsupdates bleiben erforderlich
Die neue Meldung ergänzt die PHP2Shell-Korrekturen vom 21. Oktober. Damals erschienen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 gegen CVE-2026-109618 und CVE-2026-109619. Diese Updates bleiben notwendig. Die zusätzliche Konfigurationsmaßnahme ersetzt sie nicht.
Das kanadische Cybersicherheitszentrum bestätigt ausdrücklich, dass CVE-2026-115560 durch die damaligen Veröffentlichungen nicht behoben wird. Wer seinen Server bereits aktualisiert hat, sollte die Prüfung der ungewöhnlichen Session-Konfiguration deshalb gesondert bestätigen lassen. Bei verwaltetem Webhosting liegt diese Aufgabe beim zuständigen Anbieter; ein Browserupdate auf dem eigenen Computer verändert die serverseitige PHP-Konfiguration nicht.
Die vollständige Korrektur soll regulär erscheinen
PHP bewertet die erforderliche Konstellation als im Alltag unwahrscheinlich und plant die Behebung im regulären Veröffentlichungszyklus. Eine vollständige Sicherheitsbeschreibung soll mit dem nächsten entsprechenden Release folgen. Die bisherige Mitteilung nennt weder einen konkreten Veröffentlichungstag noch eine vollständige Liste betroffener Versionsstände.
Eine aktive Ausnutzung dieses neuen Fehlers bestätigen die hier verlinkten PHP- und Behördenhinweise nicht. Die Einschätzung als ungewöhnlicher Sonderfall ersetzt dennoch keine Prüfung der eigenen Installation. Bis zum korrigierten Release sind für Betreiber die tatsächliche Anwendungskonfiguration, eine wirksam gesetzte Schutzmaßnahme und die Hinweise ihres Software- oder Hostinganbieters maßgeblich.
Stand der Recherche: 24. Oktober 2026, 11:25 Uhr MESZ.
Hauptquellen
- PHP-Projekt: Mitteilung zu CVE-2026-115560 vom 23. Oktober
- CERT-EU: Aktualisierte Warnung mit Schutzmaßnahme für die neue Lücke
- PHP-Projekt: Technische Hinweise zur administrativen Upload-Einstellung
- PHP-Handbuch: Funktionsweise der Upload-Fortschrittserfassung
- Canadian Centre for Cyber Security: Ergänzung vom 23. Oktober
Transparenzhinweis: Der Beitrag beruht auf den Veröffentlichungen des PHP-Projekts, dessen Dokumentation und den verlinkten Behördenhinweisen. gadgetChecks hat den Angriffsweg nicht selbst nachgestellt und keine einzelnen Websites, Hostingangebote oder Anwendungen auf Betroffenheit geprüft.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
gadgetChecks Technik
Tests, Kaufberatung, Technik-News, Ratgeber, Streaming und aktuelle Angebote.
Technikmagazin öffnenWas sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnenPflege, Kosmetik und Geräte
Produkte und Wissen für Frauen und Männer – ehrlich getestet und verständlich eingeordnet.
Gepflegt öffnenTraining, Ernährung und Supplements
Sport, Ausrüstung und Nahrungsergänzung – verständlich erklärt und kritisch eingeordnet.
Sport & Supplements öffnen
