PHP warnt vor erneutem RCE: Ungewöhnliche Session-Upload-Progress-Setup-Variante

LONDON (IT BOLTWISE) – PHP meldet ein weiteres Risiko für RCE durch den Angriffsweg rund um PHP2Shell. Anders als bei den Notfall-Patches vom 21. Oktober betrifft die neue Schwachstelle (CVE-2026-115560) nur Webanwendungen mit einem ungewöhnlichen Laufzeit-Setup der Session-Serialisierung. PHP veröffentlicht zunächst keine Notfallkorrektur, sondern empfiehlt eine sofortige Abschaltung der Session-Upload-Progress-Funktion. Das Problem soll erst mit dem nächsten regulären Release vollständig adressiert werden.

Der Sicherheitskalender rund um PHP2Shell bleibt eng getaktet: Nur zwei Tage nachdem PHP Notfallfixes für zwei kritische Schwachstellen bereitgestellt hat, folgt bereits eine weitere Warnung. Diesmal geht es um CVE-2026-115560, das laut PHP vor allem wegen einer speziellen Konfiguration als unwahrscheinlich gilt. Auffällig ist dabei das Vorgehen: Statt erneut einen Notfall-Release zu liefern, setzt das Projekt auf eine kurzfristige Mitigation über eine einzige Konfigurationszeile und verschiebt eine vollständige Lösung auf den nächsten planmäßigen Bugfix-Zyklus.

Technisch beschreibt PHP den Angriffspfad sehr präzise. Der kritische Mechanismus entsteht, wenn eine Webanwendung in ihrer Konfiguration zunächst session.serialize_handler auf php_binary oder php_serialize setzt, diese Option aber zur Laufzeit wieder auf php umstellt. Entscheidend ist dabei nicht nur die Reihenfolge, sondern der Zeitpunkt: Die Änderung muss über ini_set() erfolgen und dann noch vor dem Aufruf von session_start(). Zusätzlich muss die Funktion für die Session-Upload-Progress aktiv bleiben, die normalerweise anzeigt, wie weit ein Upload bereits verarbeitet wurde.

Für viele PHP-Setups ist genau diese Kombination praktisch nicht vorhanden. PHP erklärt, dass Anwendungen, die den Serialisierungs-Handler nicht während der Laufzeit wechseln, nicht in diesen Pfad fallen. Ebenso wenig gilt das Risiko für typische Konfigurationen, bei denen session.serialize_handler statisch bleibt und session.upload_progress.enabled standardmäßig zwar verfügbar, aber nicht zwingend ausgenutzt wird. Damit verschiebt sich der Charakter der Meldung von einem breit angreifbaren Patch-Notfall hin zu einem gezielten Hinweis für Betreiber mit dynamischen Laufzeit-Konfigurationen oder mit spezieller Upload-Tracking-Logik.

Als sofortige Maßnahme empfiehlt PHP eine einzige Zeile: session.upload_progress.enabled=0 bis zur nächsten regulären Veröffentlichung für den vollständigen Fix. Interessant ist, dass diese Einstellung bereits als Mitigation in der vorangegangenen Notfall-Warnung zu CVE-2026-109619 genannt wurde. Wer die damals empfohlene Abschaltung umgesetzt und anschließend beibehalten hat, muss für die neue Schwachstelle folglich nichts weiter nachziehen. Aus Angreiferperspektive bedeutet das, dass der konkrete Angriffsschritt zumindest in der Standardhärtung aus der Konfiguration herausgezogen wird, bevor ein Patch greift.

Die Einordnung in den bisherigen Verlauf zeigt zudem, dass die Lage nicht nur punktuell ist. Die Notfall-Release am 21. Oktober schloss zwei zentrale Lücken in PHP2Shell mit den Kennungen CVE-2026-109618 und CVE-2026-109619, die einem Angreifer ohne Konto erlaubten, Code auf einem Server auszuführen. Geliefert wurden die Fixes in den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für CVE-2026-115560 selbst nennt PHP keine betroffenen Versionen, keinen Schweregrad und auch kein konkretes Release-Datum für den Fix; das Projekt kündigt lediglich an, die vollständige Beratung für CVE-2026-115560 mit dem nächsten regulären Update zu veröffentlichen.

Parallel dazu wächst die Aktivität rund um die beiden früheren Schwachstellen. Laut Angaben von Amazon haben Honeypots bereits am 17. Oktober, also vier Tage vor der öffentlichen Offenlegung, einen Exploitversuch gegen CVE-2026-109618 und CVE-2026-109619 geloggt. Auch Cloudflare meldete einen starken Anstieg: von zehntausenden Versuchen innerhalb von 45 Minuten nach der Veröffentlichung am 21. Oktober bis hin zu Millionen in den frühen Stunden des 22. Oktober. Gleichzeitig berichten Sicherheitsteams und andere Forschende über Probing und Scans ohne verifizierte Codeausführung; die bisherigen Versuche sollen zudem darauf abzielen, die beiden am 21. Oktober gepatchten Lücken auszunutzen, nicht die neu gemeldete Schwachstelle.

Für Betreiber heißt das in der Praxis: Erstens sollten Umgebungen, die noch nicht aktualisiert sind, jetzt konsequent auf die genannten Notfallversionen gehen, weil sich hier bereits verwertbare Angriffsversuche zeigen. Zweitens lohnt sich der Blick in die Konfigurationshistorie: Wer Session-Parameter dynamisch zur Laufzeit umstellt oder explizit session.upload_progress nutzt, sollte die Mitigation session.upload_progress.enabled=0 zumindest bis zur nächsten Routineveröffentlichung beibehalten. Drittens bleiben einige technische Fragen offen, etwa ob CVE-2026-115560 denselben Kernmechanismus wie CVE-2026-109619 nutzt oder ob es sich um einen separaten Codepfad handelt; PHP hat dazu noch keine Aussage gemacht. Bis der vollständige Advisory-Text vorliegt, ist die sauberste Sicherheitsbewegung daher weniger „auf die kommende Patch-Version warten“, sondern die bekannte Sofortmaßnahme für eine potenziell exponierte Konfiguration jetzt umzusetzen.

152 Bewertungen

Sense Robot Go KI-Go-Brett mit Roboterarm – Automatische Steinplatzierung, interaktives Lernen, Spielwiederholung – Intelligenter Weiqi-Trainer für Kinder & Erwachsene

• ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.

Bei Amazon entdecken

334 Bewertungen

ENERGIZE LAB Eiliko Coral Pink - Ihr winziger KI-Charm-Roboter, der zu jedem täglichen Outfit passt, lustiges elektronisches Anhängerspielzeug, für Paare und beste Freunde

• IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.

79,90 EUR

Bei Amazon entdecken

1.501 Bewertungen

Eilik – Interaktiver Desktop Roboter mit Persönlichkeit, lebendigen Animationen & Reaktionen, Touch-Steuerung, Mini-Spiele, emotionaler Roboter Freund und besonderes Geschenk für Kinder & Erwachsene

• 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.

Bei Amazon entdecken

53 Bewertungen

Plantbot Upgraded Large Smart Flower Pot Pet Planter Robot with Artificial Intelligence, Time Temperature Display, and Numerous Expressive Animations Based, for Indoor Decoration, Gifts (White)

• 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.

Bei Amazon entdecken

946 Bewertungen

Loona KEYI Premium Haustier-Roboter mit Ladestation (Smarte AI ChatGPT-4o, Stimmen- & Gestensteuerung, Echtzeit-Interaktion, Heimüberwachung)

• V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.

542,11 EUR

Bei Amazon entdecken

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note Pro KI-Diktiergerät für Notizen & Zusammenfassung (Schwarz) | Plaud für Profis & Teams Sprachrekorder Multimodale Aufnahme Audiorekorder für Meetings Vorlesungen Interviews Telefonate

182,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

OOONO Co-Driver NO2 Schwarz- Optimierter Co-Driver fürs Auto - Warnt vor Tempo-Kontrollen und Gefahrenstellen – Wiederaufladbar – LED-Anzeige – CarPlay & Android Auto kompatibel

60,49 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

TOSY Flying Disc – 108 RGB-LEDs mit 16 Mio. Farben, sehr hell, Smart-Modi, Auto-Aufleuchten, wiederaufladbar, wasserdicht, Outdoor-Spielzeug für Kinder & Erwachsene, 175 g

34,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KEZKALS Geschenke für Männer, 2pack-9 IN 1 Kugelschreiber, Männergeschenke | Geburtstagsgeschenk Gadgets Lustige Kleine Geschenke für Männer, Adventskalender Füllung Männer Geschenke

11,69 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

Plaud NotePin Sprachrekorder KI-Diktiergerät für Profis & Teams (Grau)

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!