LONDON (IT BOLTWISE) – PHP meldet mit CVE-2026-115560 eine dritte PHP2Shell-Schwachstelle, bei der ein Notfix diesmal nicht sofort kommt. Der neue Angriff erfordert eine ungewöhnliche Kombination aus Session-Einstellungen und Anwendungslogik, etwa das Umschalten des Session-Serialize-Handlers zur Laufzeit. Bis zum nächsten planmäßigen Release empfiehlt PHP, das Session-Upload-Progress-Feature abzuschalten. Parallel wird weiter über langsam getaktete Scans von mutmaßlich mit Nordkorea verbundenen Akteuren berichtet.
PHP hat nach zwei bereits behandelten PHP2Shell-Problemen erneut Alarm geschlagen: Mit CVE-2026-115560 kündigt die Laufzeitumgebung eine dritte Schwachstelle an, die unter bestimmten Bedingungen einen Remote-Code-ähnlichen Effekt auf Webservern ermöglichen kann. Auffällig ist dabei weniger die reine Existenz des Fehlers, sondern die Reaktion darauf: PHP stellt diesmal keinen sofortigen Notfall-Fix in Aussicht, sondern verweist auf den nächsten regulären Release. Für Betreiber heißt das konkret, dass sie die empfohlene Abschwächung kurzfristig prüfen müssen, während sie gleichzeitig die bereits gepatchten Versionen aktualisieren und als Ausgangspunkt der Risikoanalyse heranziehen.
Die technische Hürde der neuen Schwachstelle liegt laut PHP in einer ungewöhnlichen Mischung aus Konfiguration und Anwendungscode. Ein entscheidender Punkt ist, dass eine Applikation den Session-Serialize-Handler zur Laufzeit auf „php“ umstellen muss, bevor sie eine Session startet. Zusätzlich spielt das Session-Upload-Progress-Feature eine Rolle: Auch dieses muss aktiv sein, damit die Ausnutzbarkeit überhaupt in den Bereich gelangt, den PHP beschreibt. Diese Bedingungen verschieben das Risiko vom „automatisch verwertbar“ hin zu „gezielt prüfbar“, aber sie entlasten nicht vollständig, denn viele Frameworks und Alt-Systeme besitzen genau jene dynamischen Session-Anpassungen, die in der Praxis entstehen können.
Bis zur nächsten planmäßigen Veröffentlichung nennt PHP daher eine pragmatische Zwischenmaßnahme: Das Deaktivieren des Session-Upload-Progress-Features. Das ist keine völlig neuartige Empfehlung, sondern war bereits als Fallback für eine der ersten beiden PHP2Shell-Lücken vorgesehen. Für Administratoren, die diese Option bereits umgesetzt haben, ergibt sich daraus eine klare Handlungslogik: Sie müssen nach dem aktuellen Advisory im Regelfall keine zusätzlichen Konfigurationsänderungen mehr nachziehen. Gleichzeitig bleibt aber die Kernaufgabe bestehen, die PHP-Versionen der betroffenen Produktlinien zeitnah auf die bereits veröffentlichten Fixstände zu bringen, um nicht in eine Situation zu geraten, in der später doch eine weitere Kombination aus Einstellungen und Codepfaden greift.
Parallel zur Schwachstellenmeldung zeigt die Bedrohungslandschaft, wie schnell sich die Aufmerksamkeit in Angriffsszenarien übersetzt. Laut einem Threat-Intelligence-Dienst werden die ersten beiden PHP2Shell-Lücken weiterhin in einer Art „Low-and-Slow“-Scanning-Strategie ausgenutzt: Insgesamt wurden dafür 216 Server ins Visier genommen. Die Ziele sollen unter anderem Regierungsstellen, Banken, Flughäfen und Plattformen mit Online-Transaktionen umfassen; regional werden Server in den USA, Japan, Südkorea, Indien, Australien sowie der EU und weiteren Gebieten genannt. Der Anbieter beschreibt außerdem, dass Angreifer ihre Knoten rotieren und bei ersten Anzeichen von Blocking oder Rate-Limiting früh abwarten, wodurch Schwellenwert-Detektionen weniger zuverlässig greifen könnten.
In der Praxis bedeutet das zweierlei: Erstens reicht ein einzelnes „kein Treffer“ in den Logdateien nicht als Freigabe aus, wenn das Scanverhalten bewusst gedrosselt wird. Zweitens verschiebt sich die Verteidigungsstrategie weg vom reinen Signatur-Matching hin zu einer Kombination aus „Konfigurationshygiene“ und Monitoring der relevanten Session- und Upload-Pfade. Kritisch ist auch, dass es zwischenzeitlich widersprüchliche Aussagen zur realen Ausnutzung gab: Ein Sicherheitsbericht, der angeblich den Einsatz von PHP2Shell gegen eine europäische Regierungsstelle belegt haben sollte, wurde kurze Zeit später wieder zurückgenommen, nachdem die ursprüngliche Verbindung zu den genannten CVEs nicht bestätigt werden konnte. Diese Korrektur ist zwar entwarnend in Bezug auf die konkrete Behauptung, sie ändert jedoch nichts am strukturellen Problem: Solange die Zielsysteme offen bleiben, bleiben auch die Angriffspfade attraktiv.
Auch jenseits von klassischen Webservern wirkt die Welle: Die PHP2Shell-Thematik betrifft offenbar nicht nur Server-Instanzen, sondern auch Network-Attached-Storage-Geräte, die in eigener Software PHP einsetzen. Synology hat nach Berichten aktualisierte PHP-Pakete ausgeliefert; QNAP hat betroffene Produkte gemeldet und arbeitet demnach an Fixes, ohne einen konkreten Zeitplan zu nennen. TerraMaster wiederum teilte mit, dass die Arbeiten an einer Lösung laufen. Für Unternehmen ist das eine wichtige Erinnerung, dass „Patch Management“ nicht bei der Applikationsschicht endet: Gerade in heterogenen Umgebungen, in denen NAS-Systeme für Dateitransfer, Backups oder interne Web-Backends genutzt werden, kann eine offene Session-Konfiguration ein unterschätztes Einfallstor darstellen.
Was sich aus der Kombination von technischem Advisory und Bedrohungsbeobachtung ableiten lässt, ist eine klarere Priorisierung für die nächsten Tage: Zuerst prüfen, welche PHP-Versionen wirklich im Einsatz sind und ob sie bereits auf die von PHP genannten Fixstände aktualisiert wurden. Danach gezielt die Session- und Upload-relevanten Einstellungen gegen das neue Muster abgleichen, insbesondere ob das Session-Upload-Progress-Feature aktiv ist und ob Anwendungen zur Laufzeit den Session-Serialize-Handler umstellen. In Summe verschiebt CVE-2026-115560 das Risiko zwar in Richtung „spezifischere Voraussetzung“, aber genau solche Detailbedingungen sind für Angreifer wertvoll, weil sie ihnen das Ausnutzen auf weniger überwachten Systemen ermöglichen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PHP warnt vor dritter PHP2Shell-Schwachstelle und verschiebt den Notfix" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PHP warnt vor dritter PHP2Shell-Schwachstelle und verschiebt den Notfix" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PHP warnt vor dritter PHP2Shell-Schwachstelle und verschiebt den Notfix« bei Google Deutschland suchen, bei Bing oder Google News!