Security · 23.10.2026
Kurz nach den Notfall-Patches für PHP2Shell warnt das PHP-Projekt vor einer weiteren ungepatchten RCE-Schwachstelle in bestimmten Webserver-Konfigurationen.
Die PHP-Entwicklergemeinschaft steht erneut unter Druck. Nur zwei Tage nach der Veröffentlichung dringender Notfall-Patches gegen die kritischen „PHP2Shell“-Schwachstellen wurde eine weitere ungepatchte Sicherheitslücke gemeldet. Die neue Schwachstelle, die unter der Kennung CVE-2026-115560 geführt wird, ermöglicht es Angreifern unter bestimmten Bedingungen, Schadcode aus der Ferne (Remote Code Execution, RCE) auf betroffenen Webservern auszuführen.
PHP bildet das technologische Fundament für einen Großteil der weltweiten Webinfrastruktur und treibt zahlreiche Content-Management-Systeme (CMS) sowie geschäftskritische Webanwendungen in DACH-Unternehmen an. Obwohl die PHP-Entwickler betonen, dass CVE-2026-115560 nur Systeme in ungewöhnlichen oder spezifischen Konfigurationen betrifft, birgt die Situation erhebliche Risiken. Angreifer nutzen solche Phasen erhöhter Aufmerksamkeit und laufender Patch-Aktivitäten oft gezielt aus. Ein erfolgreicher RCE-Angriff kann zur vollständigen Kompromittierung des Webservers, zum Diebstahl sensibler Kundendaten oder als Einstiegspunkt für Ransomware-Kampagnen im internen Netzwerk dienen.
Da für die neue Schwachstelle CVE-2026-115560 aktuell noch kein offizieller Patch bereitsteht, müssen IT-Administratoren und Sicherheitsverantwortliche proaktiv handeln. Folgende Maßnahmen werden empfohlen:
Die schnelle Abfolge kritischer Sicherheitswarnungen verdeutlicht die Notwendigkeit eines resilienten Patch-Managements. Auch wenn die neue Schwachstelle nur unter speziellen Bedingungen ausnutzbar ist, sollten Administratoren im DACH-Raum die Entwicklung aufmerksam verfolgen und temporäre Sicherheitsmaßnahmen implementieren.
Quelle: The Hacker News