Was ist zusätzlich zu beachten?
Am 23. Oktober 2026 hat das PHP-Projekt auf einen weiteren, ungewöhnlichen RCE-Angriffsweg im Zusammenhang mit Session Upload Progress hingewiesen. Die Sicherheitsupdates vom 21. Oktober für die beiden ursprünglichen PHP2Shell-CVEs schließen diesen zusätzlichen Angriffsweg nicht ab.
Nach dem PHP-Hinweis setzt er eine besondere Kombination voraus: Ein anderer Session-Serialisierungshandler ist konfiguriert, die Anwendung wechselt zur Laufzeit vor dem Session-Start auf php, und Session Upload Progress ist aktiviert. Eine Domain- oder reine Versionsprüfung kann diese Kombination nicht feststellen.
Welche Maßnahme nennt das PHP-Projekt?
Der veröffentlichte Hinweis empfiehlt bis zum nächsten regulären Bugfix-Release session.upload_progress.enabled=0. Wer diese Maßnahme bereits umgesetzt und beibehalten hat, benötigt laut Hinweis dafür keine weitere Änderung. Lassen Sie die anwendbare Konfiguration und das Einspielen künftiger Updates beim Hosting-Anbieter prüfen.
Originalhinweis des PHP-Projekts ↗
Der PHP-Versionscheck von HANECS bewertet die Mindeststände von CVE-2026-109618 und CVE-2026-109619. Er erklärt CVE-2026-115560 ausdrücklich nicht für behoben.
Zum ursprünglichen PHP2Shell-Briefing
Die Einordnung zu CVE-2026-109618 und CVE-2026-109619 enthält die ursprünglichen Patchstände und die nächsten Schritte für Betreiber.
Website und Version einordnen ↗Quellen
- PHP Security Team: Session Upload Progress ↗
- Canadian Centre for Cyber Security: Update vom 23.10.2026 ↗
Stand 26. Oktober 2026. Redaktionelle Erstorientierung, kein Nachweis Ihrer tatsächlichen Serverkonfiguration.