SecBoard
Zurück zur Übersicht
Hoch68 / 100Konfidenz: Mittel
In CISA KEVCVSS9.8EPSS100 %Über Netz erreichbarOhne Anmeldung

Deaktivieren Sie die Funktion "session upload progress", indem Sie "session.upload_progress.enabled=0" in Ihrer PHP-Konfiguration setzen.

▸Herleitung der Bewertung(4)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-109618, CVE-2026-109619+25
  • Hoechster CVSS-Basiswert 9.8+18
  • EPSS 100.0 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-109618, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

  • Zwei unabhaengige Herausgeber berichten den Sachverhalt
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 1 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-115560

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Web Security

URGENT - PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches

The Hacker News·
Originalartikel lesen bei The Hacker News

PHP warnt vor einer neuen, unpatchen ()-Schwachstelle (CVE-2026-115560), die zwei Tage nach Notfall-Patches für PHP2Shell-Fehler entdeckt wurde. Betroffen sind Webanwendungen mit einer spezifischen, ungewöhnlichen Konfiguration. PHP empfiehlt, die Funktion "session upload progress" zu deaktivieren, indem "session.upload_progress.enabled=0" gesetzt wird, bis ein offizieller Fix in einem zukünftigen Routine-Release verfügbar ist.

SecBoard-Einordnung

Obwohl als geringes Risiko eingestuft, könnte die Schwachstelle bei betroffenen Anwendungen die Ausführung von beliebigem Code durch Angreifer ermöglichen, was zu einem vollständigen Systemkompromiss führen kann.

Realistisch schlimmster Fall: Ein Angreifer könnte die RCE-Schwachstelle ausnutzen, um beliebigen Code auf dem Server auszuführen, was zu Datenexfiltration, Systemübernahme oder der Installation weiterer Malware führen könnte.

Empfehlung: Deaktivieren Sie die Funktion "session upload progress", indem Sie "session.upload_progress.enabled=0" in Ihrer PHP-Konfiguration setzen. Überwachen Sie die offiziellen PHP-Veröffentlichungen für den Patch.

Im erfassten Bestand

  • ▸CVE-2026-109618 kommt damit in 37 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2026-109618CISA KEV
CVSS
9.8 · CRITICAL
EPSS
100.0%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-26
Patch
unbekannt
Zuweisende CNA
security@php.net
CVE-2026-109619CISA KEV
CVSS
8.1 · HIGH
EPSS
100.0%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-26
Patch
unbekannt
Zuweisende CNA
security@php.net
CVE-2026-115560

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Webanwendungen, die PHP verwenden und eine spezifische, ungewöhnliche Konfiguration bezüglich der Session-Behandlung und des Upload-Fortschritts aufweisen.

Hersteller

PHPPHP GroupPaloaltonetworksSiemens

Produkte

PHPPan OsRuggedcom APE1808 Firmware
▸ CPE-Rohbezeichner anzeigen (17)
  • cpe:2.3:a:php:php:*:*:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:*:*:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:-:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h10:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h11:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h12:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h13:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h14:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h15:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h16:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h17:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h18:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h19:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h1:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h20:*:*:*:*:*:*
  • cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h2:*:*:*:*:*:*
  • cpe:2.3:o:siemens:ruggedcom_ape1808_firmware:-:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie Ihre PHP-Konfiguration, um festzustellen, ob 'session.upload_progress.enabled' auf '1' gesetzt ist oder nicht explizit deaktiviert wurde.
  • ▸Suchen Sie in Ihren Webanwendungsprotokollen nach ungewöhnlichen Aktivitäten im Zusammenhang mit Session-Upload-Fortschrittsfunktionen.
▸ 1 weitere
  • ▸Stellen Sie sicher, dass Ihre Webanwendungen keine ungewöhnlichen Konfigurationen für die Session-Behandlung und den Upload-Fortschritt verwenden.

Offene Punkte

3
▸ anzeigen
  • ▸Die genaue Art der 'spezifischen, ungewöhnlichen Konfiguration' wird im Artikel nicht detailliert beschrieben.
  • ▸Es ist nicht spezifiziert, welche PHP-Versionen genau betroffen sind, außer dass es sich um eine ungepatchte Schwachstelle handelt.
  • ▸Der Zeitplan für die Veröffentlichung des offiziellen Patches ist nicht angegeben.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(2)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Angreifer könnten beliebigen Code ausführen“

T1203Exploitation for Client Executionzugeordnet

„Remote Code Execution (RCE)-Schwachstelle“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. CERT-FRKontext
    Multiples vulnérabilités dans Juniper Networks Session Smart Router (19 octobre 2026)
  2. The Hacker NewsKontext
    URGENT - PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches

Der Vorgang wird seit 4 Tagen berichtet.

Quellen & Belege· 2 unterschiedliche Quellen

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-FRKontextUNKNOWN

Quelle nicht eingeordnet.

  • Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
  • Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Vollständigen Artikel lesen bei The Hacker News