Wir haben diese Behauptung analysiert: Stimmt es, dass
PHP nach seinen Notfall-Patches eine weitere potenziell ausnutzbare Sicherheitslücke gemeldet hat, während Webhosting-Anbieter am 23. Oktober zusätzliche Schutzmaßnahmen für Kunden bereitstellten?
Eine dritte PHP-Sicherheitslücke ermöglicht Angreifern die Ausführung von Befehlen aus der Ferne nur unter seltenen Sondereinstellungen; Angriffe wurden bisher nicht bekannt, während Hosting-Anbieter umfassendere Schutzmechanismen ausrollen
Dritte Schwachstelle verkompliziert PHP-Sicherheit
Reine Software-Updates schützen Webseiten womöglich nicht, solange bestimmte Einstellungen aktiv bleiben.
Die Geschichte geht weiter
Sicherheitslücke in Websoftware setzt Unternehmensfirewalls unter Zugzwang
31. Oktober 2026Führende IT-Ausrüster stellen Notfall-Updates bereit, doch Firmennetzwerke bleiben wegen schleppender Nachbesserungen vorerst verwundbar.
Warum Sicherheitsupdates allein Webseiten nicht mehr ausreichend schützen
30. Oktober 2026Selbst nach dem Einspielen aktueller Patches bleiben Online-Dienste verwundbar, wenn Serverkonfiguration und Hosting-Ebenen ungeprüft bleiben.
Sicherheitslücken in Websprache erreichen Firmen-Firewalls
27. Oktober 2026Schwachstellen in einer verbreiteten Softwarekomponente zwingen Netzwerkbetreiber zum Warten auf maßgeschneiderte Hersteller-Updates.QNAP schließt gefährliche Sicherheitslücke auf sechs Speichersystemen
24. Oktober 2026Aktualisierte Firmware schützt weite Teile der Produktpalette, doch vier Spezialserien bleiben vorerst verwundbar.
Das Wesentliche
Zwei Tage nach den Notfall-Updates für zwei kritische Schwachstellen in PHP warnten die Entwickler vor einer dritten Lücke, über die Angreifer Server kapern könnten. Da das Problem eine ungewöhnliche Konfiguration voraussetzt, empfahl das Projekt eine einfache Einstellungsänderung statt eines Notfall-Patches. Während Hoster ihre Managed-Kunden automatisch absichern, müssen Betreiber eigener virtueller Server ihre Einstellungen selbst kontrollieren.
Die Kernpunkte
- PHP meldete zwei Tage nach den Notfall-Updates für zwei kritische Schwachstellen eine dritte Lücke unter der Kennung CVE-2026-115560.
- Der neu entdeckte Fehler setzt seltene Anwendungseinstellungen voraus; Berichte über Angriffe liegen nicht vor.
- PHP riet Serveradministratoren, die Upload-Fortschrittsanzeige bis zu den regulären Fehlerbehebungs-Releases abzuschalten.
- CloudLinux weitete stabile Software-Aktualisierungen am 23. Oktober auf alle unterstützten Betriebssysteme aus.
- Hostinger sicherte Managed-Hosting-Kunden ab, betonte jedoch die Eigenverantwortung von Kunden mit virtuellen Privatservern.
Aus dem Tagebuch des Redakteurs
Versionsnummern allein spiegeln das Sicherheitsniveau nicht vollständig wider; für den tatsächlichen Schutz sind Serverkonfiguration und Hosting-Modell ebenso entscheidend wie eingespielte Updates.
Wer beteiligt ist
PHP-Entwicklungs- und Sicherheitsteams
Programmierer, die die technische Basis von Millionen Webseiten pflegen
will → Die neu entdeckte Lücke schließen und eine dauerhafte Fehlerbehebung liefern, ohne bestehende Webseiten zu beeinträchtigen
CloudLinux
Entwickler von Server-Betriebssystemen für kommerzielle Webhoster
will → Geprüfte Sicherheitsupdates an Hosting-Anbieter verteilen, ohne Verwirrung bei den Versionsnummern zu stiften
Hostinger
Webhoster für Managed-Hosting-Umgebungen und eigene Server
will → Kunden im Managed Hosting schützen und zugleich die erforderlichen Schritte für Betreiber eigener virtueller Server verständlich erklären
Website-Betreiber und Anwendungsentwickler
Verantwortliche für den Betrieb von Webseiten und deren Programmcode
will → Überprüfen, ob Produktivserver geschützt sind, und unsichere Anwendungseinstellungen korrigieren
Plesk
Anbieter von Server-Verwaltungssoftware mit eigener Hintergrundarchitektur
will → Verwaltungsoberflächen und gehostete Webseiten absichern sowie klare Angaben zu geprüften Software-Builds bereitstellen
Kurz gefasst
Selbst wenn eine Website über sämtliche aktuellen Sicherheitsupdates verfügt, kann sie weiterhin anfällig für Angriffe sein. Das birgt erhebliche Risiken, da PHP weltweit Millionen von Internetauftritten antreibt, darunter zahlreiche WordPress-Installationen. Reißt die technische Basis des Webs neue Lücken auf, müssen Seitenbetreiber handeln, um den sicheren Betrieb ihrer Dienste zu gewährleisten.
Eine dauerhafte Lösung soll erst mit einer regulären Aktualisierung folgen. Administratoren müssen deshalb vorab prüfen, ob sie eine bestimmte Funktion zur Fortschrittsanzeige bei Datei-Uploads auf ihren Servern abschalten müssen.
Das Problem dürfte sich voraussichtlich ohne größere Zwischenfälle eindämmen lassen: Die Schwachstelle setzt eine ungewöhnliche Konfiguration voraus, die auf den allermeisten Webservern gar nicht verwendet wird.
Die Vorgeschichte
Sicherheitslücken in PHP treffen Netzwerk-Hardware mit Verzögerung
23. Oktober 2026Webhoster schließen kritische Einfallstore zügig, während Administratoren von Firmen-Firewalls auf Hersteller-Updates warten müssen.
Sicherheitslücke PHP2Shell bedroht Millionen Webseiten – Patch-Pflicht spaltet Netzbetreiber
23. Oktober 2026Ein schwerer Speicherfehler gefährdet Server weltweit, doch die Behebung lässt sich nicht über herkömmliche Redaktionssysteme einspielen.
Wie es sich entwickelte
Warnungen rücken Serverkonfigurationen in den Fokus
Der Tag begann kurz nach Mitternacht mit einer Aktualisierung im System von CloudLinux: Der Anbieter meldete, dass frische Sicherheitspakete für kommerzielle Webhoster bereitstehen. Wenige Stunden später veröffentlichte das PHP-Projekt eine Sicherheitswarnung zu CVE-2026-115560, der dritten potenziellen Schwachstelle. Branchenmedien griffen den Hinweis umgehend auf. Damit verlagerte sich die Aufmerksamkeit vom reinen Einspielen der Notfall-Updates auf die Frage, welche Serverkonfigurationen das Risiko im Einzelfall überhaupt erst entstehen lassen.
Neues Risiko tritt zutage, während Hoster Schutzmaßnahmen ausweiten
Zwei Tage nach den ursprünglichen Notfall-Patches steht die Absicherung von Webseiten vor einer neuen Hürde. Laut PHP kann eine seltene Kombination von Sitzungseinstellungen es Angreifern weiterhin erlauben, die Kontrolle über einen Server zu übernehmen. Anstelle eines weiteren außerplanmäßigen Notfall-Updates empfahlen die Entwickler den Administratoren, die Erfassung des Upload-Fortschritts schlicht zu deaktivieren. Gleichzeitig weiteten Webhosting-Dienstleister ihre Schutzvorkehrungen aus. CloudLinux stellte aktualisierte Softwarepakete für mehrere Betriebssysteme bereit, während Hostinger den Schutz seiner Managed-Hosting-Kunden bestätigte und Betreiber eigener virtueller Server aufforderte, die nötigen Anpassungen selbst vorzunehmen.
Wo die Dinge stehen
Gegen die beiden ursprünglichen PHP2Shell-Schwachstellen sind Systeme geschützt, auf denen offizielle Updates oder abgesicherte Builds der Provider laufen. Neue Pakete von CloudLinux haben den Schutz auf weitere Systeme ausgedehnt, flächendeckend installiert sind sie im Netz jedoch noch nicht. Hostinger sichert seine Managed-Hosting-Kunden standardmäßig ab; wer hingegen einen eigenen virtuellen Server mietet und verwaltet, muss sich selbst um die Absicherung kümmern.
Frühere technische Hinweise bestätigen, dass Vorabversionen wie PHP 8.6 RC4 die ursprünglichen Fehlerbehebungen bereits enthalten, jedoch nicht für Produktivsysteme gedacht sind. Auch Server-Verwaltungsoberflächen von Plesk müssen getrennt geprüft werden, da das Panel eine eigene interne PHP-Instanz nutzt, die unabhängig von den gehosteten Webseiten arbeitet. Einzelne aktualisierte Builds tragen zudem ältere Versionsnummern und müssen anhand ihres Veröffentlichungsdatums identifiziert werden.
Die dritte Schwachstelle, CVE-2026-115560, bleibt bis zum Erscheinen der nächsten regulären PHP-Versionen technisch offen. Eine offizielle Schweregrad-Einstufung oder ein dauerhafter Patch stehen noch aus; Hinweise auf tatsächliche Angriffe über diesen Weg gibt es bislang nicht. Webseitenbetreiber müssen nun klären, ob ihre Anwendungen ungewöhnliche Sitzungseinstellungen nutzen, die Upload-Verfolgung bei Bedarf abschalten und die Konfiguration ihrer Hosting-Umgebung überprüfen.
PHP2Shell: die PHP-Sicherheitskrise
PHP-Sicherheitsupdate trotz Falschmeldungen über Umgehung wirksam
21. Oktober 2026Berichte über ein angeblich fehlerhaftes Notfall-Patch für Millionen Webserver entbehren laut technischen Analysen jeder Grundlage.
PHP schließt kritische Sicherheitslücken nach vorzeitiger Veröffentlichung von Angriffscode
21. Oktober 2026Vorzeitig ins Netz gelangte Exploit-Anleitungen bedrohen Millionen Webserver weltweit mit einer feindlichen Übernahme, noch bevor offizielle Updates bereitstanden.