Die konkrete Voraussetzung verstehen

Betroffen ist der beschriebene Pfad, wenn zunächst php_binary oder php_serialize als Session-Serialisierung eingestellt ist und die Anwendung vor session_start() zur Laufzeit auf php umschaltet. Zusätzlich muss der Session-Upload-Fortschritt aktiviert sein. PHP bezeichnet dieses Zusammentreffen als ungewöhnlich.

Die richtige Rückfrage an Entwickler lautet daher nicht nur „Welche PHP-Version läuft?“, sondern „Ändert unser Anwendungscode die Session-Serialisierung zur Laufzeit?“. Suchen Sie die Antwort in der tatsächlichen Konfiguration und im verwendeten Code. Eine Vermutung anhand des CMS-Namens reicht dafür nicht aus.

Die Herstellerempfehlung sauber umsetzen

PHP empfiehlt, session.upload_progress.enabled auf 0 zu setzen, um diesen Vektor bis zur nächsten regulären Fehlerkorrektur abzudecken. Die wirksame Konfiguration muss bei allen zuständigen Workern ankommen; dazu gehört deren Neustart. Anwendungen ohne den beschriebenen Laufzeitwechsel können die Funktion laut Hersteller aktiviert lassen.

Erfassen Sie vor einer Änderung, ob eine Anwendung die Fortschrittsanzeige tatsächlich nutzt. Ein deaktiviertes Hilfsmerkmal kann Auswirkungen auf die Benutzeroberfläche haben, ohne den eigentlichen Dateiupload grundsätzlich zu ersetzen. Klären Sie mit dem Anwendungsverantwortlichen, welcher Funktionstest für die konkrete Umsetzung sinnvoll ist.

Die Ausnahme später wieder auflösen

Eine temporäre Maßnahme braucht einen Besitzer und einen Wiedervorlagetermin. Dokumentieren Sie, weshalb die Einstellung geändert wurde, welche Systeme erfasst sind und unter welchen Voraussetzungen die Konfiguration später erneut bewertet werden soll. Sonst bleiben Notfalleinstellungen jahrelang unerklärt bestehen.

Der zusätzliche Hinweis ist außerdem ein gutes Beispiel für laufende Nachbeobachtung. Ein abgeschlossener Updateauftrag kann neue Herstellerinformationen erhalten. Entscheidend ist ein Verfahren, das solche Hinweise den bereits bearbeiteten Systemen zuordnet und bei Bedarf einen begrenzten Folgeauftrag auslöst.

Ihre Checkliste für den nächsten Schritt

  • Session-Konfiguration und Laufzeitwechsel gemeinsam prüfen.
  • Wirksamkeit der Einstellung bei sämtlichen Workern bestätigen.
  • Temporäre Änderung mit Wiedervorlage dokumentieren.

Häufige Fragen

Sind alle Installationen mit den Updates vom 21. Oktober betroffen?

Nein. Der zusätzliche Hinweis nennt besondere Voraussetzungen im Zusammenspiel von Konfiguration und Anwendungscode. Diese müssen konkret geprüft werden.

Soll ich auf eine unangekündigte Notfallversion warten?

Zum Stand 25.10.2026 kündigt PHP die Bearbeitung im regulären Releasezyklus an. Maßgeblich sind der aktuelle Herstellerhinweis und die passende dokumentierte Zwischenmaßnahme.

Quellen & weiterführende Informationen

PHP: Informational advisory – Session upload progress ↗CERT-EU: Aktualisierung vom 23. Oktober ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.