Neue PHP-Lücke CVE-2026-115560 fällt nicht unter die Oktober-Fixes

Am 23. Oktober berichtete Cloudflare über CVE-2026-115560, eine weitere PHP-Schwachstelle. Sie ist von den vier am 21. Oktober veröffentlichten Fixes für CVE-2026-109618 und CVE-2026-109619 getrennt. Diese beiden kritischen Fehler betreffen den PHP-Kern und können unter bestimmten Bedingungen die Ausführung von Schadcode ohne Anmeldung ermöglichen.

Was die beiden PHP-Fehler im Betrieb auslösen

PHP nennt Webserver-Installationen mit PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed als gefährdet. Das höchste Risiko sieht das Projekt bei mod_php; dort wurde ein Angriff demonstriert, der bereits vor dem Start des Anwendungscodes greifen kann. Google Cloud gibt für beide Schwachstellen einen CVSS-v4.0-Basiswert von 9,2 an. CVSS ist ein Schema zur Bewertung der Schwere von Sicherheitslücken.

Die Fehler haben unterschiedliche Ursachen. Bei CVE-2026-109618 kann ein Speichermangel PHP unterbrechen, während interne Anfragedaten erst teilweise initialisiert sind. Die anschließende Bereinigung kann diese ungültigen Daten als gültig behandeln. Bei CVE-2026-109619 kann interner Zustand nach dem Freigeben des zugehörigen Speichers bestehen bleiben und von einer späteren Anfrage desselben Worker-Prozesses verwendet werden. Wiz berichtete über demonstrierte Möglichkeiten zur nicht authentifizierten Ausführung von Schadcode sowie zur Offenlegung von Prozessspeicher.

OpenAI und Wiz schätzen, dass PHP auf rund 70 Prozent der Websites eingesetzt wird. Diese Zahl beschreibt die Verbreitung der Sprache, nicht den Anteil verwundbarer oder kompromittierter Systeme.

Vier PHP-Zweige haben korrigierte Versionen

Der PHP-Projektarchiv nennt vier Releases, die CVE-2026-109618 und CVE-2026-109619 beheben:

PHP bezeichnet das Aktualisieren auf eine korrigierte Version als einzige vollständige Abhilfe. Web Application Firewalls und Konfigurationsänderungen können einzelne Angriffswege eindämmen, ersetzen den Fix aber nicht. Die offizielle PHP-Sicherheitsmeldung enthält die Releases und Hinweise für Betreiber.

PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine regelmäßigen Sicherheitsupdates mehr. Für PHP 7.4, 8.0 und 8.1 stellte das Projekt minimale Quellcode-Rückportierungen bereit. Distributionen und Anbieter mit Langzeitunterstützung können eigene Pakete bereitstellen; Betreiber sollten sich deshalb beim jeweiligen Anbieter nach dessen korrigierter Paketversion richten.

Forschende nutzten KI, die Entdeckung blieb menschlich gesteuert

OpenAI erklärte, Calif habe mithilfe von GPT-5.6 Sol eine kritische PHP-Schwachstelle gefunden. Calif datiert den Beginn seiner Entdeckung mehrerer Angriffspfade auf den 1. August 2026. Der Forschende Ryan Austin beschrieb den Einsatz eines Sprachmodells als Teil einer von ihm gesteuerten Untersuchung, die auf seiner PHP-Erfahrung und seinem Wissen über frühere Schwachstellen aufbaute.

Wiz zufolge entdeckte das Team unabhängig am 19. August eine Schwachstelle und meldete die Probleme am 24. August an PHP. Die PHP Foundation berichtete außerdem, OpenAI habe unabhängig denselben Grundfehler gemeldet und am 18. September weitere Angriffswege übermittelt. Die PHP-Maintainer führten die Korrekturen und veröffentlichten die vier Releases.

OpenAI stellte Patch the Planet nicht erst im Zusammenhang mit den PHP-Fixes vor. Die Initiative war bereits am 22. Juni 2026 angekündigt worden. Am 21. Oktober beschrieb OpenAI die PHP-Koordinierung und schlug ein fünfstufiges Verfahren für künftige Fälle vor:

• Maintainer, Forschende und technische Partner prüfen die Schwachstelle und entwickeln sowie testen den Fix.
• Betroffene Organisationen erhalten Zeit, Schutzmaßnahmen vorzubereiten.
• Staatliche Stellen werden einbezogen, damit Hinweise kritische Systeme erreichen.
• Anbieter und Betreiber bereiten Aktualisierungen für betroffene Produkte vor.
• Nach Veröffentlichung eines Patches folgen öffentliche Hinweise und Unterstützung bei der Verteilung.

OpenAI stellte diese Schritte als Vorschlag für koordinierte Reaktionen auf kritische Schwachstellen dar. PHPs konkrete Fixes waren zu diesem Zeitpunkt bereits veröffentlicht.

Vor der öffentlichen Bekanntgabe gab es einen Honeypot-Angriffsversuch

Amazon berichtete, dass am 17. Oktober 2026 ein Ausnutzungsversuch einen MadPot-Honeypot erreichte. Amazon ließ offen, wie der Akteur von der Schwachstelle erfahren hatte und ob der Versuch auf einem realen System erfolgreich gewesen wäre. Am 20. Oktober zirkulierten laut PHP Foundation die CVE-Kennungen online; daraufhin zog PHP seinen Veröffentlichungsplan vor.

CVE-2026-115560 ist eine separate PHP-Schwachstelle

Cloudflare berichtete am 23. Oktober über CVE-2026-115560. PHP führt sie als eigenständiges Problem, das nicht durch die am 21. Oktober veröffentlichten Versionen behoben wird. Die Schwachstelle betrifft laut PHP eine ungewöhnliche Laufzeitkonfiguration: session.serialize_handler wird vor session_start() zur Laufzeit auf php umgestellt, während der Sitzungs-Upload-Fortschritt aktiviert bleibt.