Status: Auswirkungen in Untersuchung

Das PHP-Projekt hat einen informativen Sicherheitshinweis zu einer weiteren Schwachstelle (CVE-2026-115560) veröffentlicht. Es handelt sich um einen möglichen Vektor für Remote Code Execution in der Session-Verarbeitung von PHP. Laut PHP-Projekt ist ein Auftreten in der Praxis unwahrscheinlich, da eine ungewöhnliche Kombination aus Konfiguration und Anwendungscode erforderlich ist. Uns ist der Hinweis bekannt, und wir untersuchen derzeit die Auswirkungen auf unsere Produkte und Kunden.

Um auf der sicheren Seite zu sein, empfehlen wir Kunden, die vom PHP-Projekt genannte Mitigation jetzt umzusetzen: Setzen Sie in Ihrer PHP-Konfiguration session.upload_progress.enabled=0 und starten Sie PHP neu. Falls Sie diese Einstellung bereits im Zuge des PHP-Hinweises vom 21. Oktober 2026 (CVE-2026-109619) umgesetzt haben, sind keine weiteren Maßnahmen erforderlich. Ein vollständiger Fix folgt mit dem nächsten regulären PHP-Release. Zusätzlich empfehlen wir weiterhin das Update auf die korrigierten PHP-Versionen 8.5.12, 8.4.27, 8.3.36 bzw. 8.2.35 (Fixes zum Hinweis vom 21. Oktober).

Wir aktualisieren diese Meldung, sobald uns weitere Informationen vorliegen.

So setzen Sie die Mitigation um

Selbstverwaltete Server (VPS/VDS/Dedicated, ohne Control Panel)

Bearbeiten Sie die zuständige php.ini (oder eine Override-Datei in conf.d) und setzen Sie session.upload_progress.enabled = 0.
Starten Sie PHP-FPM bzw. Apache neu (z. B. systemctl restart php8.x-fpm oder systemctl restart apache2).
Prüfen Sie die Einstellung mit php -i | grep upload_progress oder über eine phpinfo()-Seite.

Setzen Sie den Wert in der php.ini oder in der FPM-Pool-/Serverkonfiguration. Das PHP-Projekt rät davon ab, sich auf ini_set() oder .user.ini zu verlassen, da die Einstellung vor dem Parsen der Anfrage greifen muss.

cPanel/WHM

Öffnen Sie in WHM Software → MultiPHP INI Editor.
Wählen Sie die PHP-Version und öffnen Sie den Editor Mode.
Setzen Sie session.upload_progress.enabled = 0 und speichern Sie.
Wiederholen Sie dies für alle installierten PHP-Versionen.
Starten Sie PHP-FPM neu, falls die Änderung nicht automatisch übernommen wird.

Kunden ohne WHM-Zugriff können den MultiPHP INI Editor in cPanel pro Domain nutzen. Die serverweite Konfiguration durch den Administrator ist vorzuziehen.

Plesk

Serverweit: Tools & Einstellungen → PHP-Einstellungen, PHP-Version wählen und unter Zusätzliche Konfigurationsdirektiven die Zeile session.upload_progress.enabled=0 ergänzen (oder im Reiter php.ini bearbeiten).
Pro Abonnement: Websites & Domains → [Domain] → PHP-Einstellungen, dieselbe Zeile unter Zusätzliche Konfigurationsdirektiven eintragen und mit Übernehmen bestätigen.
Wiederholen Sie dies für jede verwendete PHP-Version.

[UPDATE 23.10.2026 16:31]

Die Mitigation (session.upload_progress.enabled=0) ist auf allen Webspace Servern ausgerollt.

14.10.2026
Object Storage is functioning normally in EU and US, this incident now only affects the APAC region Object Storage.

Additionally, customers in Sydney might experience slower data transfer speeds at times. The cause is a broken submarine cable between Australia and Singapore. Repairs are currently expected in November, though this timeline may change. We’re mitigating the situation by rerouting traffic.

While we resolve the situation, automated backups will continue as bandwidth and performance allows, and backup status remains visible via the CCP (Customer Control Panel).

23.09.2026

We are continuing to address performance issues affecting our Object Storage cluster.

As a precaution, automated backups remain paused. Existing backups are unaffected and restores continue to operate normally.

We will provide a further update once resolved.
-----------------------------------------------------------------------------------------------------------------------------
We are currently addressing performance issues affecting our Object Storage cluster. The Object Storage product remains fully functional.

As a precaution, automated backups to this cluster have been temporarily paused. Existing backups are unaffected, and restores continue to operate normally.

A fix is already underway. We expect the cluster to be fully operational within the next few days and are closely monitoring progress. Once resolved, automated backups will resume, and backup status will remain visible via the CCP (Customer Control Panel) throughout.

We will provide further updates as they become available.

Derzeit werden keine Wartungen in unseren Rechenzentren durchgeführt.

Derzeit sind keine Wartungen in unseren Rechenzentren geplant.

Es wurden keine Wartungen durchgeführt.