PHP warnt vor neuer RCE-Schwachstelle CVE-2026-115560 zwei Tage nach dem Notfall-Patch für PHP2Shell

Am 23. Oktober veröffentlichte die PHP Foundation eine Informationsmitteilung zu einer neuen Schwachstelle für Remote Code Execution — CVE-2026-115560. Das Problem tauchte nur zwei Tage nach der Notfallveröffentlichung von Patches für zwei kritische PHP2Shell-Schwachstellen (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2) auf. Die neue Schwachstelle betrifft Webanwendungen mit einer untypischen Konfiguration des Session-Handlers und wird durch die zuvor veröffentlichten Updates nicht behoben. PHP plant keinen Notfall-Patch und empfiehlt, die Funktion session upload progress bis zum nächsten regulären Release zu deaktivieren. Zuvor haben wir die PHP2Shell-Schwachstellen ausführlich analysiert — das neue Problem erweitert die Angriffsfläche, wenn auch unter enger gefassten Bedingungen.

Technische Details zu CVE-2026-115560

Die Schwachstelle CVE-2026-115560 kann zu Remote Code Execution führen, allerdings nur, wenn mehrere Bedingungen gleichzeitig erfüllt sind. Die Anwendung muss:

• den Parameter session.serialize_handler in der Konfiguration auf php_binary oder php_serialize setzen;
• diesen Parameter zur Laufzeit per ini_set() auf php umstellen;
• dies vor dem Aufruf von session_start() tun;
• dabei muss die Funktion session upload progress aktiviert bleiben (Standardeinstellung).

Die PHP Foundation stuft eine solche Konfiguration in der Praxis als unwahrscheinlich ein. Die offizielle Mitteilung enthält weder eine Liste der betroffenen Versionen noch eine CVSS-Bewertung oder Informationen dazu, ob die neue Schwachstelle mit der eigentlichen Ursache von CVE-2026-109619 zusammenhängt. Der vollständige Sicherheitshinweis wird mit dem nächsten regulären Release veröffentlicht.

Es ist wichtig, den Umfang der Auswirkungen klar abzugrenzen: Im Unterschied zu CVE-2026-115560 betreffen die PHP2Shell-Schwachstellen (CVE-2026-109618 und CVE-2026-109619) PHP in Standardkonfigurationen und ermöglichen einem nicht authentifizierten Angreifer die Ausführung beliebigen Codes. Laut Sicherheitshinweis GHSA-w8hw-w9fx-j79w steht CVE-2026-109618 mit Speicherbeschädigung bei Ressourcenerschöpfung in Zusammenhang (CWE-416, use-after-free). CVE-2026-109619, beschrieben im Sicherheitshinweis GHSA-6wmf-4rv5-p3rp, ermöglicht es, dass der globale Request-Status auf bereits freigegebenen Speicher zeigt und von einer nachfolgenden Anfrage desselben Worker-Prozesses genutzt wird. Beide werden von der PHP Group nach CVSS v4.0 mit 9.2 bewertet und sind in den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. PHP-Versionen 8.1 und älter erhalten vom PHP-Projekt keine Sicherheitsupdates mehr.

Aktivität der Angreifer

Zum Zeitpunkt der Veröffentlichung der Mitteilung wurden keine Versuche zur Ausnutzung von CVE-2026-115560 festgestellt. Die beiden zuvor behobenen PHP2Shell-Schwachstellen werden jedoch aktiv gescannt. Nach Angaben von Cloudflare stieg die Zahl der Exploit-Versuche von Zehntausenden in den ersten 45 Minuten nach der Offenlegung am 21. Oktober bis zum Morgen des 22. Oktober auf Millionen an. Sophos und Arctic Wolf berichteten über Versuche, eine Mirai-Botnetz-Variante über diese Schwachstellen zu installieren, allerdings wurden keine bestätigten erfolgreichen Codeausführungen festgestellt — die Entwicklung eines zuverlässigen Exploits erwies sich als schwieriger als erwartet.

Nach Angaben von CYFIRMA wurde eine gezielte Scan-Kampagne von 21 kompromittierten Knoten aus beobachtet, die sich gegen 216 Hosts im öffentlichen Sektor, bei Finanzorganisationen, in Logistik, Luftfahrt und Fertigung in den USA, Japan, Südkorea und anderen Ländern richtet. Das Scanning erfolgt im „low-and-slow“-Modus — mit geringem Volumen und rotierenden Knoten, was die Erkennung durch schwellenbasierte Alarmsysteme erschwert. CYFIRMA ordnet die Kampagne mit moderater Zuversicht einem koreanischsprachigen Operator zu, der vermutlich mit dem Ökosystem der Lazarus Group verbunden ist; diese Attribution ist jedoch nicht durch unabhängige Quellen bestätigt, und eine massenhafte Kompromittierung über PHP2Shell wurde nicht beobachtet.

Es ist anzumerken, dass Unit 42 (Palo Alto Networks) seine ursprüngliche Aussage zurückgezogen hat, wonach der Angriff auf eine europäische Regierungsbehörde direkt mit den PHP2Shell-Schwachstellen in Verbindung stand — diese Verbindung konnte nicht bestätigt werden. Das ist eine wichtige Korrektur: Derzeit gibt es keine unabhängig bestätigten Fälle einer erfolgreichen Ausnutzung von PHP2Shell zur Erlangung von Erstzugriff.

Empfehlungen zur Erkennung

Da die beobachtete Kampagne eine Taktik des langsamen Scannens mit IP-Rotation verwendet, können Standardregeln für Schwellenwertalarme sie übersehen. Für Verteidiger ist es sinnvoll:

• eine retrospektive Analyse der Webserver- und Netzwerkverkehrsprotokolle über einen verlängerten Zeitraum durchzuführen;
• Prozessketten zu überwachen, die von PHP-Workern (PHP-FPM, mod_php) gestartet werden;
• in Logs nach Anfragen mit den Markern PHP_SESSION_UPLOAD_PROGRESS und nach Multipart-Uploads ohne Nutzlast zu suchen;
• auf folgende Abfolge zu achten: POST-Anfrage mit Antwort 500, PHP-Fehler aufgrund von Speicherauslastung, Heap-Korruption und Absturz des Apache-Worker-Prozesses.

Unit 42 hat Suchabfragen zur Erkennung potenzieller Post-Exploitation-Aktivität im Kontext von PHP-Servern sowie eingehender Exploit-Versuche mit Multipart-Anfragen und upload progress veröffentlicht.

Praktische Empfehlungen

1. Aktualisieren Sie PHP auf die Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 — damit werden CVE-2026-109618 und CVE-2026-109619 geschlossen.
2. Deaktivieren Sie session upload progress, indem Sie in der PHP-Konfiguration session.upload_progress.enabled=0 setzen und alle Worker-Prozesse neu starten. Diese Maßnahme mildert CVE-2026-115560 ab und ist zugleich der empfohlene Workaround für CVE-2026-109619. PHP warnt, dass die Deaktivierung dieser Einstellung nicht alle Varianten von veraltetem Zustand abdeckt.
3. Überprüfen Sie die Konfiguration Ihrer Anwendungen: Wenn Ihr Code session.serialize_handler nicht zur Laufzeit über ini_set() umschaltet, sind Sie über diesen Vektor nicht von CVE-2026-115560 betroffen.
4. Audit veralteter Versionen: PHP 8.1 und älter erhalten vom PHP-Projekt keine Sicherheitsupdates. Erkundigen Sie sich bei Ihrem Distribution- oder LTS-Support-Anbieter nach backportierten Patches.

Die Aktualisierung von PHP auf dem Host ist die einzige vollwertige Möglichkeit, die PHP2Shell-Schwachstellen zu beseitigen. Änderungen am Anwendungscode, das Aktualisieren von CMS-Plugins oder WAF-Regeln ersetzen keinen Patch des Runtimes. Organisationen, die session upload progress bereits nach den Empfehlungen vom 21. Oktober deaktiviert haben, müssen für CVE-2026-115560 keine zusätzlichen Maßnahmen ergreifen. Wer dies noch nicht getan hat, sollte diese Einstellung umgehend setzen und ein PHP-Update auf das nächste reguläre Release einplanen, das die vollständige Korrektur enthalten wird.