Die Warnung erschien am 23. Oktober in einem kurzen informativen Hinweis. Vorausgegangen war das Notfall-Release vom 21. Oktober, das die beiden kritischen PHP2Shell-Lücken CVE-2026-109618 und CVE-2026-109619 schloss. Diese erlaubten es einem Angreifer ohne Konto, Code auf einem Server auszuführen, und wurden in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Das neue Problem ist davon unabhängig und wird durch diese Versionen nicht behoben.
Gefährdet ist nur eine eng umrissene Konstellation: Eine Webanwendung muss die Option session.serialize_handler in ihrer Konfiguration auf php_binary oder php_serialize setzen, diese Option zur Laufzeit per ini_set() auf php ändern und diese Änderung vor dem Aufruf von session_start() vornehmen. Zusätzlich muss Session Upload Progress weiterhin aktiviert sein. Anwendungen, die den Serialize-Handler zur Laufzeit nie ändern, können die Funktion eingeschaltet lassen und sind auf diesem Weg nicht angreifbar. PHP hält ein solches Setup in der Praxis für unwahrscheinlich.
Die empfohlene Maßnahme besteht aus einer Zeile: session.upload_progress.enabled=0 bis zum nächsten regulären Bugfix-Release. Es handelt sich um dieselbe Einstellung, die PHP bereits im Hinweis vom 21. Oktober als Gegenmaßnahme zu CVE-2026-109619 genannt hatte. Wer sie damals gesetzt und beibehalten hat, muss für das neue Problem nichts weiter tun. Session Upload Progress ist standardmäßig aktiv und erlaubt es einer Anwendung, den Fortschritt eines Datei-Uploads zu verfolgen.
Da die betroffene Konfiguration selten ist, behandelt PHP die Korrektur als Teil des regulären Release-Zyklus statt als Notfall; einen vollständigen Sicherheitshinweis zu CVE-2026-115560 will das Projekt mit dem nächsten Release veröffentlichen. Offen bleibt bislang, welche Versionen betroffen sind, welche Releases die Korrektur enthalten werden und wie die Lücke eingestuft wird. Auch zu der Frage, ob das neue Problem dieselbe Ursache wie CVE-2026-109619 hat, hat sich PHP nicht geäußert. Angriffe auf CVE-2026-115560 sind nicht bekannt.
Unterdessen hat die Ausnutzung der beiden älteren PHP2Shell-Lücken zugenommen. Amazon erklärte, seine Honeypots hätten bereits am 17. Oktober – vier Tage vor der Offenlegung – einen Ausnutzungsversuch gegen CVE-2026-109618 und CVE-2026-109619 protokolliert. Cloudflare berichtete, die Versuche seien von Zehntausenden innerhalb von 45 Minuten nach der Offenlegung am 21. Oktober bis zum frühen 22. Oktober auf Millionen gestiegen.
Nach Angaben von Sophos und Arctic Wolf versuchten Angreifer, über die Lücken eine Variante des Mirai-Botnets zu installieren. Diese Versuche blieben bislang erfolglos: Previdian, Wordfence und andere berichten von Scans und Sondierungen, aber von keiner bestätigten Codeausführung; Forscher sagen, ein zuverlässiger Exploit erweise sich als schwieriger zu bauen als erwartet. Diese Aktivität richtet sich gegen die beiden am 21. Oktober gepatchten Lücken, nicht gegen CVE-2026-115560.