Neue PHP-Sicherheitslücke: CVE-2026-115560 – Schutzmaßnahme bereits verfügbar

Dieser Artikel wurde bereits 1x gelesen...

Nur zwei Tage nach der Veröffentlichung kritischer Sicherheitsupdates für PHP warnt das PHP-Projekt am 23. Oktober 2026 vor einer weiteren Schwachstelle. Die Sicherheitslücke mit der Kennung CVE-2026-115560 kann unter bestimmten Voraussetzungen die Ausführung von Schadcode auf einem Webserver ermöglichen.

Ein Sicherheitsupdate steht derzeit noch nicht zur Verfügung. Administratoren können das Risiko jedoch durch eine einfache Änderung der PHP-Konfiguration reduzieren.

Die Schwachstelle betrifft die PHP-Funktion „Session Upload Progress“. Diese ermöglicht es Webanwendungen, den Fortschritt von Datei-Uploads innerhalb einer PHP-Sitzung zu verfolgen.

Nach Angaben des PHP-Projekts ist eine Ausnutzung nur unter ungewöhnlichen Konfigurationsbedingungen möglich:

• Die Anwendung verwendet zunächst den Session-Serialisierungsmodus php_binary oder php_serialize.
• Der Modus wird zur Laufzeit mittels ini_set() auf php geändert.
• Die Änderung erfolgt vor dem Aufruf von session_start().
• Die Funktion session.upload_progress.enabled ist aktiviert.

Da diese Kombination in der Praxis vergleichsweise selten vorkommt, bewertet das PHP-Projekt das tatsächliche Risiko als gering. Dennoch empfiehlt es eine vorsorgliche Absicherung.

Bis zur Veröffentlichung eines Sicherheitsupdates empfiehlt das PHP-Projekt, die Upload-Fortschrittsfunktion zu deaktivieren.

Dazu wird in der zentralen PHP-Konfiguration folgende Einstellung gesetzt:

session.upload_progress.enabled = 0

Die Änderung sollte in der serverseitigen php.ini oder der entsprechenden PHP-FPM- beziehungsweise Serverkonfiguration vorgenommen werden. Anschließend müssen die betroffenen PHP-Prozesse neu gestartet werden.

Die Einstellung deaktiviert lediglich die PHP-Funktion zur Sitzungsverfolgung des Upload-Fortschritts. Normale Datei-Uploads bleiben grundsätzlich möglich. Anwendungen, die diese spezielle Fortschrittsanzeige nutzen, sollten jedoch auf ihre Funktionsfähigkeit geprüft werden.

Die neue Schwachstelle steht im Zusammenhang mit den kürzlich bekannt gewordenen PHP-Sicherheitsproblemen.

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen:

• CVE-2026-109618
• CVE-2026-109619

Für diese Sicherheitslücken wurden unter anderem die PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 veröffentlicht.

Die neue Schwachstelle CVE-2026-115560 wird durch diese Updates jedoch noch nicht behoben. Die eigentliche Korrektur soll mit einem kommenden regulären PHP-Bugfix-Release erfolgen.

Quellen:
PHP-Projekt – Offizielle Sicherheitsmeldung vom 23. Oktober 2026
IT-Daily – PHP warnt vor weiterer Sicherheitslücke
CERT.at – Kritische Sicherheitslücken in PHP