CVE-2026-115560: Neues ungepatchtes PHP RCE Risiko erfordert sofortige Maßnahmen

PHP hat CVE-2026-115560 offengelegt, ein neues Risiko der Remote Code Execution, das Webanwendungen betrifft, die eine ungewöhnliche Kombination aus PHP-Session-Konfiguration und Laufzeitverhalten verwenden. Das Problem wurde am 23. Oktober 2026 bekannt gegeben, nur zwei Tage nachdem PHP Notfall-Patches für die kritischen PHP2Shell-Schwachstellen CVE-2026-109618 und CVE-2026-109619 veröffentlicht hatte.

Im Gegensatz zu den früheren Schwachstellen hat CVE-2026-115560 keine weitere Notfall-PHP-Version ausgelöst. Das PHP-Sicherheitsteam hält die anfällige Konfiguration in typischen Bereitstellungen für unwahrscheinlich und plant, den Fehler im nächsten regulären Bugfix-Zyklus zu beheben. Bis dahin wird Administratoren empfohlen, das Fortschrittsfeature für PHP-Sitzungs-Uploads zu deaktivieren, wo die anfällige Konfiguration existieren könnte.

Die neue Schwachstelle ist auch deshalb wichtig, weil die Installation von PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 — den Versionen, die die beiden früheren PHP2Shell-Fehler beheben — not CVE-2026-115560 nicht behebt. Vollständig aktualisierte Systeme können daher weiterhin gefährdet bleiben, wenn ihre Anwendungen die spezifischen Konfigurationsvoraussetzungen erfüllen.

Sicherheitsteams, die Detektionsmöglichkeiten für CVE-2026-115560 suchen, sollten die Sichtbarkeit in die PHP-Sitzungsbearbeitung, ungewöhnliche Multipart-Uploads, unerwartete Änderungen im Verhalten der Sitzungsserialisierung und verdächtige Kindprozesse, die von PHP- oder Web-Server-Workern gestartet werden, priorisieren.

Die AI-Native Detection Intelligence Platform von SOC Prime ermöglicht es Sicherheitsteams, die Abdeckung zur Ausnutzung aufkommender Schwachstellen und damit verbundenem Verhalten nach Einbruch über SIEM-, EDR- und Data Lake-Umgebungen zu verstärken.

Klicken Sie Detektionen erkunden um auf relevante Detektionsinhalte und Jagdlogik zuzugreifen. Um CVE-2026-115560 zu erkennen, sollten Verteidiger eine PHP-Konfigurationsbewertung mit Web-, Endpunkt-, Anwendungs- und Reverse-Proxy-Telemetrie kombinieren, während ein Anbieter-Patch noch nicht verfügbar ist.

Sicherheitsspezialisten können auch Prime Architect nutzen, um neu offengelegte Schwachstelleninformationen in Sigma-Regeln und Jagd-Abfragen zu transformieren, Detektionslogik zu validieren und relevante Detektionen über unterstützte Sicherheitsplattformen zu übersetzen.

Vertrieb kontaktieren

CVE-2026-115560 Analyse

PHP veröffentlichte am 23. Oktober eine Informationsmitteilung, die eine potenziell ausnutzbare Interaktion zwischen der Sitzungsserialisierung und dem Progress-Feature für Sitzungs-Uploads beschreibt.

Laut dem PHP-Sicherheitsteam muss eine Anwendung mehrere spezifische Bedingungen erfüllen, bevor das Problem auftreten kann:

• session.serialize_handler muss anfänglich als php_binary oder php_serialize konfiguriert sein.
• Anschließend muss der Anwendungscode den Handler zur Laufzeit mithilfe von ini_set() auf php ändern.
• Diese Änderung muss erfolgen, bevor session_start() aufgerufen wird.
• session.upload_progress.enabled muss aktiviert bleiben.

Anwendungen, die den Serialisierungshandler zur Laufzeit nie wechseln, sind über diesen spezifischen Pfad nicht exponiert und können das Upload-Progress-Feature weiterhin verwenden. PHP beschreibt die anfällige Kombination als unüblich.

Diese Unterscheidung reduziert die Angriffsfläche erheblich im Vergleich zu CVE-2026-109618 und CVE-2026-109619. Die früheren PHP2Shell-Schwachstellen betrafen weitgehend PHP-Installationen von Web-Servern und erforderten Notfall-Updates. CVE-2026-115560 hängt stattdessen von anwendungsspezifischer Konfiguration und Codeverhalten ab.

Die Details zu CVE-2026-115560 bleiben absichtlich begrenzt. PHP hat die vollständige technische Ursache, die genauen anfälligen Versionsbereiche, einen CVSS-Wert oder den spezifischen internen Speicher oder den Sitzungszustandsübergang, der letztendlich die RCE-Bedingung erzeugt, noch nicht veröffentlicht. Der Anbieter sagt, diese Details werden im nächsten regulären Release enthalten sein.

Basierend auf den offengelegten Voraussetzungen scheint die Schwachstelle mit inkonsistenter Handhabung von Sitzungsdaten verbunden zu sein, wenn eine Anwendung die Serialisierungsformate während der Anforderungsverarbeitung wechselt, während PHPs Upload-Progress-Mechanismus aktiv ist. Allerdings sollte das genaue Ausnutzungsprimitive nicht über das hinaus geschlossen werden, was PHP offiziell offengelegt hat.

CVE-2026-115560 betrifft Anwendungen, die das anfällige Konfigurationsmuster erfüllen, einschließlich Anwendungen, die vollständig gepatchte PHP-Versionen verwenden, welche die PHP2Shell-Fixes vom 21. Oktober enthalten. PHP hat noch nicht angegeben, welche PHP-Zweige oder historischen Veröffentlichungen den zugrunde liegenden Fehler enthalten.

Das bedeutet, dass Administratoren die Exposition nicht allein anhand der installierten PHP-Version bestimmen sollten. Stattdessen müssen sie die Anwendung und die Server-Konfiguration bewerten.

Ein nützlicher erster Schritt ist zu überprüfen, ob der Fortschritt beim Sitzungs-Upload aktiviert ist:

session.upload_progress.enabled=1

Administratoren sollten auch jeden Anwendungscode identifizieren, der ini_set() aufruft, um session.serialize_handler zu ändern, insbesondere Übergänge von php_binary oder php_serialize zu php.

Das neue Problem ist getrennt von CVE-2026-109619, obwohl die Minderung überschneidet. Das Deaktivieren des Fortschritts bei Sitzungs-Uploads wurde bereits als Maßnahme zur Risikoreduktion für eine der ursprünglichen PHP2Shell-Schwachstellen empfohlen. Organisationen, die diese Einstellung nach dem Notfall-Update am 21. Oktober deaktiviert hielten, sind bereits gegen den neu offengelegten Pfad geschützt, so PHP.

Derzeit ist kein öffentliches CVE-2026-115560 PoC von PHP oder den beiden gelieferten Berichten dokumentiert. Das Sicherheitsteam hat auch nicht genug technische Informationen offengelegt, um die Schwachstelle zuverlässig anhand der öffentlichen Mitteilung allein nachzuvollziehen.

Dies unterscheidet sich deutlich von den früheren PHP2Shell-Fehlern, bei denen verschiedene Proof-of-Concept-Versuche und Exploit-Aktivitäten rund um die Offenlegung auftraten. Diese Angriffe sollten nicht der neuen Schwachstelle zugeschrieben werden.

Bis zum 26. Oktober 2026 wurde keine Ausnutzung von CVE-2026-115560 gemeldet. The Hacker News unterscheidet ausdrücklich laufende PHP2Shell-Scans und Ausnutzungsversuche von dieser neueren Schwachstelle und merkt an, dass die beobachtete Aktivität auf CVE-2026-109618 und CVE-2026-109619 abzielt.

Infolgedessen sind derzeit keine IoCs wie bösartige IP-Adressen, Domains, Hashes, Payloads oder bestätigte Exploit-Anforderungsmuster für CVE-2026-115560 verfügbar.

Bis weitere technische Details bekannt werden, sollten Verteidiger sich auf verhaltens- und konfigurationsbasierte Indikatoren konzentrieren, darunter:

• PHP-Anwendungen, die den session.serialize_handler während der Ausführung ändern
• Sitzungsfortschritt-Upload ist auf Anwendungen mit benutzerdefinierter Sitzungslogik aktiviert
• Unerwarteter Multipart-POST-Verkehr zu Anwendungen, die PHP-Sitzungen behandeln
• PHP-FPM, php-cgi, Apache oder andere PHP-Server-Prozesse, die Shells oder Skript-Interpreter starten
• Unerwartete ausgehende Netzwerkverbindungen von PHP-Workern
• Neu erstellte Dateien innerhalb von Web-Root oder beschreibbaren Anwendungsverzeichnissen
• Ungewöhnliche Änderungen an Sitzungsdateien oder Sitzungspeicher
• Webshells, geplante Aufgaben oder unbefugte Persistenz, die von PHP-Dienstkonten erstellt wurden

Anwendungsentwickler sollten auch die benutzerdefinierte Sitzungslogik überprüfen. Framework-Erweiterungen, Legacy-Anwendungen, interne Plattformen oder benutzerdefinierte Authentifizierungssysteme ändern mit größerer Wahrscheinlichkeit Serialisierungseinstellungen dynamisch als einfache PHP-Bereitstellungen.

Die Offenlegung erfolgt während einer bereits aktiven Phase von PHP-Ausnutzungsaktivitäten. Die ursprünglichen PHP2Shell-Schwachstellen wurden am 21. Oktober gepatcht, und mehrere Sicherheitsunternehmen beobachteten anschließend weit verbreitete Sonden- und Exploit-Versuche. Weder PHP noch Sicherheitsforscher haben diese Kampagnen mit CVE-2026-115560 in Verbindung gebracht.

CVE-2026-115560-Minderung

Derzeit empfiehlt PHP eine direkte Abwehrmaßnahme:

session.upload_progress.enabled=0

Administratoren sollten diese Einstellung über php.ini, PHP-FPM-Poolkonfiguration, Apache-Konfiguration oder einen anderen serverseitigen Mechanismus anwenden, der vor der Anforderungsverarbeitung in Kraft tritt.

Organisationen, die das Feature bei der Minderung von CVE-2026-109619 deaktiviert haben und es deaktiviert gelassen haben, benötigen keine zusätzliche Konfigurationsänderung für diese Schwachstelle.

Nach der Änderung der Einstellung sollten PHP-Worker und relevante Webdienste neu gestartet werden, um sicherzustellen, dass bestehende Prozesse die aktualisierte Konfiguration laden. Abhängig von der Umgebung kann dies den Neustart von PHP-FPM-Pools, Apache-Workern, Containern oder anderen PHP-Anwendungs-Laufzeitprozessen umfassen.

Administratoren können die effektive Einstellung durch Inspektion der PHP-Konfiguration verifizieren, anstatt anzunehmen, dass ein zentraler php.ini-Wert überall gilt. PHP-Bereitstellungen kombinieren häufig Einstellungen aus:

• Globaler php.ini
• conf.d Dateien
• PHP-FPM-Poolkonfiguration
• Apache-Direktiven
• Container-spezifische Konfiguration
• Anwendungsebene .user.ini
• Laufzeitaufrufe zu ini_set()

Die wichtigste Expositionsbewertung ist anwendungsspezifisch. Suchen Sie im Quellcode der Anwendung nach Laufzeitänderungen des Sitzungsserialisierers, insbesondere Mustern, die Folgendes beinhalten:

ini_set(’session.serialize_handler‘, ‚php‘)

Anwendungen, die den Serialisierer vor dem session_start() nie von php_binary oder php_serialize auf php ändern, passen nicht in das von PHP offengelegte anfällige Szenario.

Organisationen sollten dennoch die Sicherheitsupdates von PHP2Shell vom 21. Oktober aufrechterhalten. Das Deaktivieren des Upload-Fortschritts behebt den neu identifizierten Pfad, ersetzt jedoch nicht die Notfall-Patches für CVE-2026-109618 und CVE-2026-109619.

Unterstützte Installationen sollten daher mindestens bleiben auf:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Diese Versionen beheben die früheren PHP2Shell-Probleme, aber nicht die neu offengelegte Schwachstelle.

Sicherheitsteams sollten auch nicht unterstützte PHP-Installationen inventarisieren. PHP 8.1 und frühere Versionen erhalten keine routinemäßigen Upstream-Sicherheitsupdates mehr, was bedeutet, dass Organisationen in Legacy-Umgebungen möglicherweise Schwierigkeiten haben, die vollständige Exposition zu bestimmen, sobald die endgültige CVE-Mitteilung veröffentlicht wird.

Falls es betrieblich unmöglich ist, den Fortschritt beim Sitzungs-Upload zu deaktivieren, sollten Organisationen zunächst feststellen, ob ihre Anwendungen den Serialisierungshandler tatsächlich dynamisch ändern. PHP erklärt ausdrücklich, dass Anwendungen, die diesen Laufzeitwechsel nie durchführen, den Fortschritt beim Sitzungs-Upload eingeschaltet lassen können.

Zusätzliche Schutzmaßnahmen beinhalten:

• Externen Zugriff auf sensible PHP-Anwendungen begrenzen.
• Restriktive Reverse-Proxy-Regeln für unnötige Datei-Upload-Endpunkte anwenden.
• Multipart-Anfragen im Zusammenhang mit PHP-Sitzungen überwachen.
• Auf anomale PHP-Worker-Kindprozesse alarmieren.
• Mindestprivilegien auf PHP-FPM und Web-Server-Accounts anwenden.
• Verhindern, dass PHP-Dienste dort schreiben, wo es möglich ist, in ausführbare Verzeichnisse.
• Ausgehende Konnektivität von Webanwendungs-Workloads einschränken.
• Web-Roots und temporäre Verzeichnisse auf unbefugte Dateierstellung überwachen.

AWS hat auch festgestellt, dass seine PHP-Anwendungs-WAF-Regeln POST-Anfragen blockieren können, die PHP-Sitzungskennungen mit dem PHP_SESSION_UPLOAD_PROGRESS-Feld kombinieren, was eine weitere Abwehrschicht für Umgebungen bietet, die nicht sofort Konfigurationsänderungen vornehmen können. Diese Art der Filterung sollte dennoch als Defense-in-Depth betrachtet werden und nicht als Ersatz für die empfohlene Konfigurationsänderung von PHP.

Sobald PHP das reguläre Bugfix-Update mit der endgültigen Behebung veröffentlicht, sollten Organisationen es umgehend bereitstellen, auch wenn die temporäre Minderung bereits aktiviert ist.

Nach dem Patchen können Administratoren entscheiden, ob der Fortschritt beim Sitzungs-Upload basierend auf den Anforderungen der Anwendung wieder aktiviert werden muss.

Wenn eine Ausnutzung vermutet wird, isolieren Sie den betroffenen Anwendungsserver und bewahren Sie Web-, PHP-, Reverse-Proxy-, Endpunkt- und Netzwerk-Telemetrie auf. Überprüfen Sie beschreibbare Verzeichnisse auf Webshells oder neu erstellte Dateien, inspizieren Sie PHP-Kindprozesse und identifizieren Sie Anmeldeinformationen oder Geheimnisse, die dem kompromittierten Dienst zugänglich sind.

Da eine erfolgreiche Ausnutzung möglicherweise zu Codeausführung mit den Rechten des PHP-Workers führen könnte, sollten Reagierende relevante Anmeldeinformationen für Anwendungen, Datenbankgeheimnisse, API-Token, Cloud-Schlüssel und andere sensible Informationen rotieren, falls ein Kompromiss nicht ausgeschlossen werden kann.

Haftungsausschluss: Detektionsinhalte sind möglicherweise nicht für jede CVE verfügbar. Überprüfen Sie die SOC Prime Platform auf aktuelle Abdeckung. Falls relevante Detektionen noch nicht verfügbar sind, überprüfen Sie erneut, da kontinuierlich neue Bedrohungsinformationen und Detektionsinhalte hinzugefügt werden.