PHP2Shell: Dritte Sicherheitslücke in PHP bekommt kein Notfall-Update

Michael Dobler

Autor Dr. Web

24. Okt. 2026

3 Min. Lesezeit

Für eine dritte Schwachstelle rund um PHP2Shell gibt das PHP-Team kein Notfall-Update heraus. Bis zur nächsten regulären Version sollen Betreiber den Upload-Fortschritt in PHP-Sessions abschalten. Wordfence zählte mehr als 74.000 Angriffsversuche, aber keinen bestätigten Einbruch.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Stand: Samstag, 11 Uhr. Am Freitag veröffentlichte das PHP-Team einen Hinweis zur Lücke CVE-2026-115560.^[1] Weil nur eine seltene Konfiguration angreifbar ist, behebt das Projekt den Fehler erst mit der nächsten regulären Version, ohne Termin. Die beiden kritischen Lücken hatten die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 am 21. Oktober geschlossen.

Auf einen Blick

Das Wichtigste in Kürze

CVE-2026-115560 betrifft nur Anwendungen, die das Speicherformat ihrer Session zur Laufzeit wechseln.
Als Schutz empfiehlt das PHP-Team session.upload_progress.enabled = 0, ab Werk steht der Wert auf 1.
Angreifer zielten laut Wordfence unter anderem auf die Zugangsdaten in der wp-config.php.

Was steckt hinter der dritten Lücke?

Kippschalter in der Mitte einer weißen Platte an weißer Wand mit gelbem Zettel rechts — PHP-Session mit CVE-2026-115560 anfällig, wenn Konfiguration Format wechselt und Upload-Fortschritt aktiv ist

PHP legt Session-Daten in einem von mehreren Speicherformaten ab. Gefährlich wird CVE-2026-115560 erst, sobald eine Anwendung in der Konfiguration das Format php_binary oder php_serialize festlegt, kurz vor dem Start der Session per ini_set() auf das Standardformat php umstellt und der Upload-Fortschritt eingeschaltet ist.^[1] Diese Funktion, ab Werk eingeschaltet, schreibt bei Datei-Uploads Statusdaten in die Session.^[2]^[3]

Am 21. Oktober bezeichnete das PHP-Team den Upload-Fortschritt als kaum genutzt und kaum getestet und riet, die Funktion auch nach dem Update abzuschalten: Immer mehr Angreifer suchten dort nach Fehlern.^[4] Zwei Tage später folgte die dritte Lücke.

WordPress selbst startet keine PHP-Session. Der Website-Zustand von WordPress stuft eine aktive Session als kritisch ein, weil sie Anfragen an die REST-API stören kann.^[5] Betroffen wären Plugins oder andere Anwendungen mit eigenen Sessions.

Wie ernst sind die Angriffe auf WordPress-Websites?

Vor dem Update hatten Hoster erste Angriffe auf die Lücken gemeldet. Bis Donnerstagabend fing die Firewall von Wordfence auf mehr als fünf Millionen WordPress-Websites über 74.000 Versuche ab, die der Anbieter PHP2Shell und verwandten Angriffen zuordnet.^[6] In einer Stichprobe wollten die Angreifer die wp-config.php auslesen, eine PHP-Hintertür in Upload-, Plugin- oder Theme-Ordner schreiben und Schadcode nachladen. Manche Anfragen enthielten präparierte PHP-Objekte, wie zuletzt bei der Lücke in Prime Mover.

Einen bestätigten Einbruch sah Wordfence nicht. Im Labor gelang dem Anbieter über CVE-2026-109619 nur auf einem eigens eingerichteten Apache-Server die Codeausführung, eine Standardinstallation von PHP stürzte dagegen ab.^[6] Im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA fehlen die Lücken.^[7] Belegt sind damit gezielte Angriffsversuche, ein erfolgreicher Angriff nicht. Sicher ist ein ungepatchter Server deshalb nicht, warnt Wordfence: Manche Angriffsspuren tauchen nur außerhalb der WordPress-Protokolle auf.

PHP2Shell: Lage am 24. Oktober

Drei Lücken, eine Standardeinstellung und die Angriffsdaten von Wordfence

Lücken: CVE-2026-109618 und CVE-2026-109619 sind geschlossen, CVE-2026-115560 noch nicht

74.000

Angriffs- und Scanversuche fing die Wordfence-Firewall bis Donnerstag ab

bestätigte Einbrüche über die Lücken meldet Wordfence

ist der Standardwert von session.upload_progress.enabled, das PHP-Team rät zu 0

Vom Notfall-Update zur dritten Lücke

21. Oktober

Vier neue Versionen

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen die beiden kritischen Lücken

22. Oktober

Angriffsdaten

Wordfence sieht Versuche, die wp-config.php auszulesen und Hintertüren abzulegen

23. Oktober

Dritte Lücke

Das PHP-Team empfiehlt, den Upload-Fortschritt in Sessions abzuschalten

Termin offen

Nächste Version

Die reguläre Version korrigiert CVE-2026-115560 und bringt den vollständigen Sicherheitshinweis

PHP schaltet ab Werk eine Funktion ein, die kaum eine WordPress-Website braucht. Genau dort suchen Angreifer jetzt.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten WordPress-Betreiber jetzt tun?

Version prüfen: Unter „Werkzeuge“, „Website-Zustand“ und „Bericht“ zeigt WordPress die PHP-Version. Nötig sind 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder ein Distributionspaket mit beiden Korrekturen, danach ein Neustart aller PHP-Prozesse.^[6] Den Umstieg erklärt der Ratgeber zum PHP-Update für WordPress.
Upload-Fortschritt abschalten: Der Wert session.upload_progress.enabled = 0 gehört in die php.ini, die Serverkonfiguration oder eine .user.ini, per ini_set() lässt er sich nicht setzen.^[8] Bei Shared Hosting fragen Sie gerne Ihren Anbieter.
Sessions aufspüren: Meldet der Website-Zustand eine aktive PHP-Session, öffnet ein Plugin oder Theme eigene Sessions. Fragen Sie dann den Hersteller, ob die Erweiterung das Speicherformat umstellt.
Spuren suchen: Unbekannte PHP-Dateien in den Ordnern für Uploads, Plugins und Themes sind ein Warnzeichen. Bei einem Verdacht erneuern Sie gerne Datenbank-Passwort und Sicherheitsschlüssel der wp-config.php.

Gelangen Angreifer an Kundendaten, muss der Verantwortliche die Datenpanne nach Art. 33 DSGVO in der Regel binnen 72 Stunden der Aufsichtsbehörde melden.^[9] Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen PHP-Updates meist selbst ein, Grundregeln bündelt der Beitrag zur WordPress-Sicherheit.

FAQ: PHP2Shell: Dritte Sicherheitslücke in PHP bekommt kein Notfall-Update

Was ist CVE-2026-115560?

CVE-2026-115560 ist eine dritte Lücke in PHP, die das PHP-Team am 23. Oktober 2026 bekannt machte. Ausnutzbar ist die Lücke nur, sofern eine Anwendung das Speicherformat ihrer Session zur Laufzeit wechselt und der Upload-Fortschritt eingeschaltet ist. Die Korrektur folgt mit der nächsten regulären PHP-Version.

Sollten WordPress-Betreiber session.upload_progress.enabled abschalten?

Das PHP-Team empfiehlt den Wert 0 bis zur nächsten regulären Version, für Installationen ohne Bedarf auch danach. WordPress selbst nutzt keine PHP-Sessions. Die Einstellung gehört in die php.ini, die Serverkonfiguration oder eine .user.ini, im Programmcode lässt sie sich nicht ändern.

Wurden WordPress-Websites über PHP2Shell gehackt?

Bis zum 22. Oktober 2026 hat Wordfence keinen bestätigten Einbruch über die PHP2Shell-Lücken beobachtet. Die Firewall des Anbieters fing aber mehr als 74.000 Angriffs- und Scanversuche ab, unter anderem mit dem Ziel, Zugangsdaten aus der wp-config.php zu lesen.

Welche PHP-Versionen schließen PHP2Shell?

Die beiden kritischen Lücken CVE-2026-109618 und CVE-2026-109619 schließen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 vom 21. Oktober 2026 sowie Distributionspakete mit beiden Korrekturen. Nach dem Update müssen alle PHP-Prozesse neu gestartet werden.