PHP Sicherheitslücke CVE-2026-115560 ohne Patch

Kaum ist der Notfall-Patch für PHP2Shell eingespielt, kommt die nächste Meldung: Das PHP-Team hat am 23. Oktober 2026 die Lücke CVE-2026-115560 bekannt gemacht. Diesmal gibt es keinen Notfall-Patch — aber eine Abhilfe, die du in einer Minute erledigt hast.

DAS IST PASSIERT: Eine Lücke, drei Bedingungen

Das PHP-Team beschreibt das Risiko als kurzen Hinweis. Angreifbar ist nur, wer alle drei Punkte erfüllt:

session.serialize_handler steht in der Konfiguration auf php_binary oder php_serialize.
Die Anwendung stellt ihn zur Laufzeit per ini_set() auf php um, bevor sie session_start() aufruft.
Die Session-Upload-Fortschrittsanzeige ist noch aktiv — sie ist standardmäßig eingeschaltet.

Die Kombination ist ungewöhnlich. Genau deshalb entschied sich PHP gegen einen Notfall-Release. Ob die Ursache dieselbe ist wie bei CVE-2026-109619, hat das Team nicht verraten.

DIE ABHILFE: Ein Schalter genügt

Setze in deiner php.ini (oder in der PHP-Konfiguration deines Panels) session.upload_progress.enabled=0. Das schließt den Angriffsweg. Wer diese Einstellung schon wegen CVE-2026-109619 gesetzt hat, muss nichts weiter tun.

Danach PHP-FPM beziehungsweise den Webserver neu laden, damit die Änderung greift. Ein Test mit php -i | grep upload_progress zeigt den aktiven Wert.

WANN KOMMT DER PATCH?

Der Fix soll mit dem nächsten routinemäßigen Bugfix-Release kommen, ein Termin ist nicht genannt. Zusammen mit dem Release will PHP ein ausführliches Advisory veröffentlichen. Die Notfall-Versionen vom 21. Oktober (PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35) enthalten die Korrektur nicht — sie beheben nur CVE-2026-109618 und CVE-2026-109619.

WIRD DAS SCHON ANGEGRIFFEN?

Bisher nicht. Die seit dem 21. Oktober beobachteten Angriffe zielen laut PHP auf CVE-2026-109618 und CVE-2026-109619. Einen CVSS-Wert nennt das Team für die neue Lücke nicht. Behandle das Thema trotzdem ernst: Nach den Erfahrungen der letzten Tage mit PHP2Shell ist die Zeit zwischen Meldung und Angriff kurz.

FAZIT: Eine Zeile, die sich lohnt

Wer PHP selbst betreibt — auf dem VPS, im Homelab oder in einem Docker-Container — sollte jetzt einmal in die Konfiguration schauen. Bei Webhosting-Paketen ohne Zugriff auf die php.ini lohnt ein Blick ins Panel oder eine Nachfrage beim Anbieter.

Häufige Fragen

Muss ich sofort handeln, wenn ich WordPress oder Nextcloud betreibe?

Die Lücke braucht eine ungewöhnliche Konfiguration: Die Anwendung muss den Session-Handler zur Laufzeit umstellen. Das ist bei Standardinstallationen selten. Trotzdem ist die Abhilfe so billig, dass du sie einfach setzen solltest. Mit session.upload_progress.enabled=0 fällt der Angriffsweg weg, und die meisten Anwendungen verlieren dadurch keine Funktion.

Was verliere ich, wenn ich die Upload-Fortschrittsanzeige abschalte?

Die Session-Upload-Fortschrittsanzeige liefert den Fortschritt großer Uploads über die Session. Sie wird nur von einzelnen Anwendungen genutzt, die damit einen Fortschrittsbalken bauen. Die meisten Webprojekte kommen ohne aus oder zeigen den Fortschritt per JavaScript im Browser an. Prüfe nach der Änderung kurz, ob große Uploads weiter normal laufen.

Reichen die Patches vom 21. Oktober?

Nein. Die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 beheben CVE-2026-109618 und CVE-2026-109619, aber nicht die neue Lücke. Du brauchst beides: die Notfall-Updates und die Abhilfe in der Konfiguration, bis das nächste reguläre Bugfix-Release erscheint. Danach lohnt der Blick auf das ausführliche Advisory.

Woher weiß ich, welchen Wert meine Installation nutzt?

Mit php -i oder phpinfo() siehst du session.serialize_handler und session.upload_progress.enabled. Ob eine Anwendung den Handler zur Laufzeit per ini_set() umstellt, siehst du nur im Quellcode. Ist dir das zu aufwendig, setze die Abhilfe einfach. Sie kostet wenig und schließt den Weg unabhängig davon, was die Anwendung tut.

SCHON WIEDER PHP! Neue RCE-Lücke ohne Patch — dieser eine Schalter in der php.ini schützt dich JETZT