CVE-2026-115560: neue Schwachstelle in PHP, noch ohne Korrektur
Veröffentlicht 23.10.2026 · Schweregrad : Mittel · Aktualisiert 27.10.2026
Was passiert: Am 23. Oktober 2026 meldete PHP eine neue Schwachstelle, CVE-2026-115560, die eine Remote-Code-Ausführung auf dem Server ermöglichen kann. Sie wurde zwei Tage nach den Korrekturen für PHP2Shell bekannt, und die aktualisierten Versionen vom 21. Oktober beheben sie nicht.
Wie schwerwiegend: Laut PHP erfordert ein Angriff eine ungewöhnliche Kombination aus Einstellungen und Programmcode: Die Website muss das Format der Sitzungsdaten während der Ausführung wechseln, und die Funktion für den Upload-Fortschritt muss aktiviert sein. Bisher wurden keine Angriffe gemeldet (CERT-FR, 27. Oktober 2026). PHP behebt den Fehler in der nächsten regulären Version.
Wer betroffen ist: Websites, die mit PHP laufen – darunter WordPress, Joomla, Drupal und viele Online-Shops –, bei denen die Funktion für den Upload-Fortschritt (session.upload_progress) aktiviert ist. Sie ist standardmäßig aktiviert.
Was Sie tun sollten: PHP empfiehlt, bis die Korrektur verfügbar ist, session.upload_progress.enabled=0 in der php.ini oder in der Serverkonfiguration zu setzen und die PHP-Prozesse neu zu starten. Diese Einstellung wird nur zur Anzeige des Fortschritts beim Datei-Upload verwendet; die meisten Websites werden keinen Unterschied bemerken. Installieren Sie die nächste PHP-Version, sobald sie verfügbar ist.
Sie sind unsicher, ob Ihre Website betroffen ist? Schreiben Sie uns, dann sagen wir Ihnen, was getan werden sollte.