PHP warnt vor weiterer Lücke nach PHP2Shell-Notfallpatch

Das PHP-Projekt hat am 23. Oktober vor einer weiteren Schwachstelle gewarnt, über die Angreifer unter bestimmten Bedingungen Code auf Webservern ausführen können. Die Lücke mit der Kennung CVE-2026-115560 betrifft laut PHP nur ungewöhnlich konfigurierte Webanwendungen. Das Projekt stuft das Risiko als gering ein und veröffentlicht keinen Notfallpatch. Die Korrektur soll mit dem nächsten regulären Bugfix-Release kommen.

Nur bei Wechsel des Serialisierers

Gefährdet sind Anwendungen, die in ihrer Konfiguration die Option session.serialize_handler auf php_binary oder php_serialize setzen, sie dann zur Laufzeit per ini_set() auf php umstellen und diese Änderung vor dem Aufruf von session_start() vornehmen. Zusätzlich muss die Funktion Session Upload Progress aktiv sein, mit der Anwendungen den Fortschritt von Datei-Uploads verfolgen. Sie ist standardmäßig eingeschaltet. Anwendungen, die den Serialisierer zur Laufzeit nicht ändern, sind über diesen Weg nicht angreifbar.

Als Gegenmaßnahme empfiehlt PHP, bis zur Korrektur die Einstellung session.upload_progress.enabled=0 zu setzen. Dieselbe Maßnahme hatte das Projekt bereits für die Lücke CVE-2026-109619 genannt. Wer sie damals umgesetzt und beibehalten hat, muss nichts weiter tun. Welche PHP-Versionen betroffen sind, welche Releases die Korrektur enthalten werden und wie schwer die Lücke eingestuft wird, hat PHP noch nicht mitgeteilt. Eine Ausnutzung ist bislang nicht bekannt.

PHP2Shell bereits in Angriffen ausgenutzt

Zwei Tage zuvor, am 21. Oktober, hatte PHP Notfallupdates für die beiden kritischen Lücken CVE-2026-109618 und CVE-2026-109619 veröffentlicht, die unter dem Namen PHP2Shell bekannt wurden. Über sie konnten Angreifer ohne Benutzerkonto Code auf Servern ausführen. Behoben sind sie in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Seit der Veröffentlichung werden laut The Hacker News Angriffe auf diese beiden Lücken beobachtet. Die neue Schwachstelle ist davon unabhängig und wird durch diese Updates nicht behoben. Ob sie dieselbe Ursache hat wie CVE-2026-109619, hat PHP nicht mitgeteilt.

Administratoren sollten PHP auf die jeweils aktuelle Version der genutzten Versionslinie aktualisieren und zusätzlich prüfen, ob Session Upload Progress in ihrer Umgebung benötigt wird.

(red)