PHP rät zur Deaktivierung des Session-Upload-Fortschritts, um neues RCE-Risiko zu mindern

Das PHP-Projekt hat eine informativen Advisory veröffentlicht, der vor einer neuen Remote-Code-Execution (RCE)-Schwachstelle warnt, identifiziert als CVE-2026-115560. Diese Warnung kommt nur zwei Tage nach der Veröffentlichung von Notfall-Patches für die kritischen PHP2Shell-Schwachstellen. Das Projekt empfiehlt Administratoren, die Funktion „Session Upload Progress“ sofort als Mitigationsstrategie zu deaktivieren.

Was passiert ist

Am 23. Oktober veröffentlichte das PHP-Entwicklungsteam eine kurze Advisory mit Details zum neuen Sicherheitsproblem. Im Gegensatz zu den vorherigen kritischen Schwachstellen betrifft dieser Fehler nicht alle PHP-Installationen. Er zielt auf eine enge und ungewöhnliche Konfiguration ab, bei der eine Anwendung ihren Handler für die Session-Serialisierung zur Laufzeit dynamisch ändert. Das Risiko besteht speziell, wenn eine Anwendung in ihrer Konfiguration die Option session.serialize_handler auf php_binary oder php_serialize setzt, sie dann über ini_set() auf php umschaltet, bevor session_start() aufgerufen wird, während der Session-Upload-Fortschritt aktiviert bleibt.

Das PHP-Team stuft dies in der Praxis als unwahrscheinliches Risiko ein, da die meisten Anwendungen ihre Serialisierungs-Handler nicht im laufenden Betrieb wechseln. Daher wird kein Notfall-Patch ausgegeben. Stattdessen wird der Fix im nächsten regulären Bugfix-Release enthalten sein. Die Advisory stellt ausdrücklich fest, dass das Setzen von session.upload_progress.enabled=0 die Bedrohung neutralisiert. Dies ist dieselbe Mitigation, die bereits für die vorherige PHP2Shell-Schwachstelle empfohlen wurde, was bedeutet, dass Administratoren, die diese Änderung bereits vorgenommen haben, auch vor diesem neuen Problem geschützt sind.

Diese neue Schwachstelle unterscheidet sich von den beiden kritischen Fehlern, die am 21. Oktober gepatcht wurden und unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 bekannt sind. Diese früheren Fehler ermöglichten es nicht authentifizierten Angreifern, Code auf Servern auszuführen, und wurden in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Das aktuelle Problem, CVE-2026-115560, wird durch diese Updates nicht gelöst. Bisher wurden keine Exploits gemeldet, die auf diese neue Schwachstelle abzielen.

Wichtige Details

• Schwachstellen-ID: CVE-2026-115560 betrifft PHP-Installationen mit spezifischen dynamischen Konfigurationen für die Session-Serialisierung.
• Mitigation: Setzen Sie session.upload_progress.enabled=0 in Ihrer PHP-Konfiguration, bis ein regulärer Fix veröffentlicht wird.
• Umfang: Das Risiko ist auf Anwendungen beschränkt, die session.serialize_handler über ini_set() vor session_start() ändern.
• Status: Es wird kein Notfall-Patch ausgegeben; der Fix wird im nächsten regulären Wartungsrelease eintreffen.
• Vorherige Patches: Die Notfall-Releases vom 21. Oktober für CVE-2026-109618 und CVE-2026-109619 beheben dieses neue Problem nicht.
• Ausnutzung: Es gibt keine gemeldeten Versuche, CVE-2026-115560 auszunutzen, obwohl Angriffe auf die vorherigen PHP2Shell-Schwachstellen weiterhin stark zunehmen.

Hintergrund

Der Session-Upload-Fortschritt ist eine integrierte PHP-Funktion, die Webanwendungen ermöglicht, den Status von Datei-Uploads in Echtzeit zu verfolgen. In vielen Standardkonfigurationen ist sie standardmäßig aktiviert. Obwohl sie für die Benutzererfahrung nützlich ist, führt sie zu Komplexität bei der Verarbeitung von Session-Daten. Serialisierung ist der Prozess der Umwandlung von Datenstrukturen in ein Format, das gespeichert oder übertragen werden kann. PHP unterstützt verschiedene Serialisierungs-Handler, wie php, php_binary und php_serialize. Der dynamische Wechsel zwischen diesen Handlern während einer Anfrage kann zu Inkonsistenzen bei der Interpretation von Session-Daten führen und potenziell Sicherheitslücken erzeugen, wenn er nicht sorgfältig verwaltet wird.

Die jüngsten PHP2Shell-Schwachstellen haben die Gefahren unsachgemäßer Eingabeverarbeitung in PHPs Kernfunktionen hervorgehoben. Diese Fehler ermöglichten es Angreifern, bösartigen Code über scheinbar harmlose Anfragen einzuschleusen. Die Sicherheitscommunity reagierte schnell; Cloud-Anbieter wie Cloudflare meldeten innerhalb weniger Stunden nach der Offenlegung Millionen von Ausnutzungsversuchen. Angreifer versuchten, Mirai-Botnet-Varianten zu installieren, wobei eine zuverlässige Ausnutzung jedoch schwierig erwies. Es ist entscheidend, den Unterschied zwischen diesen aktiv ausgenutzten Fehlern und dem neu offengelegten, risikoärmeren Konfigurationsproblem zu verstehen, um die Reaktionsbemühungen richtig zu priorisieren.

Warum es wichtig ist

Für Teams, die selbst gehostete Software verwalten, unterstreicht diese Advisory die Bedeutung der Konfigurationshygiene gegenüber einfachen Versionsupdates. Während das Patching auf die neueste PHP-Version für die vorherigen RCE-Fehler kritisch ist, löst es dieses neue Problem nicht. Administratoren müssen ihre php.ini-Einstellungen oder anwendungsspezifischen Konfigurationen aktiv überprüfen. Wenn Sie den Session-Upload-Fortschritt für legitime Funktionen benötigen, müssen Sie bewerten, ob Ihre Anwendung Serialisierungs-Handler dynamisch ändert. Wenn dies nicht der Fall ist, können Sie sich dennoch dafür entscheiden, die Funktion als Defense-in-Depth-Maßnahme zu deaktivieren, angesichts der geringen Wahrscheinlichkeit, sie in modernen Architekturen zu benötigen.

Der rasante Anstieg der Angriffe auf die vorherigen PHP2Shell-Schwachstellen zeigt, wie schnell automatisierte Bots nach neu offengelegten Schwachstellen scannen. Obwohl CVE-2026-115560 derzeit als geringes Risiko eingestuft wird, deutet das Muster sofortiger Ausnutzungsversuche darauf hin, dass jede öffentlich bekannte Schwäche getestet wird. Durch die sofortige Anwendung der empfohlenen Konfigurationsänderung eliminieren Sie einen potenziellen Angriffsvektor, bevor ein formaler Patch verfügbar ist. Dieser proaktive Ansatz reduziert das Zeitfenster der Exposition und vereinfacht zukünftige Wartungsarbeiten, da Sie bei der späteren Verfügbarkeit des regulären Fixes keinen Notfall-Update mehr durchführen müssen.

Was Sie tun können

• Deaktivieren Sie den Session-Upload-Fortschritt: Fügen Sie session.upload_progress.enabled=0 sofort zu Ihrer php.ini-Datei oder Anwendungskonfiguration hinzu.
• Überprüfen Sie bestehende Mitigationsmaßnahmen: Wenn Sie den Session-Upload-Fortschritt bereits deaktiviert haben, um CVE-2026-109619 zu mitigieren, sind für dieses spezifische Problem keine weiteren Maßnahmen erforderlich.
• Prüfen Sie die Serialisierungslogik: Überprüfen Sie Ihren Anwendungscode, um festzustellen, ob er ini_set() verwendet, um session.serialize_handler vor session_start() zu ändern.
• Beobachten Sie Updates: Achten Sie auf das nächste reguläre PHP-Bugfix-Release, das den dauerhaften Fix für CVE-2026-115560 enthalten wird.
• Auditieren Sie Logs: Überwachen Sie Server-Logs weiterhin auf ungewöhnliche Aktivitäten im Zusammenhang mit Session-Handling oder Datei-Uploads, auch wenn derzeit keine Exploits gemeldet werden.
• Aktualisieren Sie PHP-Versionen: Stellen Sie sicher, dass Sie PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 verwenden, um gegen die kritischen PHP2Shell-Schwachstellen geschützt zu bleiben.