Als Vorsichtsmassnahme im Nachgang zu den kritischen PHP-Sicherheitslücken PHP2Shell (siehe Statusmeldung und Blogpost) härten wir die Session-Konfiguration von PHP. Ab dem 28. Oktober 2026 gelten auf sämtlichen Webservern für PHP 8.2, 8.3, 8.4 und 8.5 die folgenden Standardwerte:

session.use_strict_mode = 1
session.cookie_httponly = 1
session.cookie_samesite = "Lax"

Es handelt sich um genau die Standardwerte, die mit dem kommenden PHP 8.6 ohnehin eingeführt werden. Mit der vorzeitigen Umstellung erhöhen wir die Sicherheit bereits jetzt und erleichtern den späteren Wechsel auf PHP 8.6.

Was ändert sich?

• session.use_strict_mode = 1: PHP akzeptiert nur noch Session-IDs, die auf dem Server tatsächlich existieren. Unbekannte, vom Client vorgegebene IDs werden durch eine neue ersetzt. Dies schützt vor Session Fixation.
• session.cookie_httponly = 1: Das Session-Cookie kann nicht mehr per JavaScript ausgelesen werden. Dies erschwert den Diebstahl von Sessions über Cross-Site-Scripting (XSS).
• session.cookie_samesite = "Lax": Das Session-Cookie wird bei Cross-Site-Anfragen (z.B. POST-Formulare von fremden Websites, eingebettete Inhalte in fremden iframes) nicht mehr mitgesendet, bei normalen Links von anderen Websites hingegen schon. Dies schützt vor Cross-Site Request Forgery (CSRF).

Wer ist betroffen?

Betroffen sind nur Anwendungen, die PHP-Sessions mit den PHP-Standardwerten nutzen (session_start()), in der Regel also individuell entwickelte PHP-Anwendungen. Gängige Frameworks und CMS wie Laravel, Symfony, TYPO3, Nextcloud oder Roundcube setzen diese Cookie-Optionen bereits selbst, WordPress verwendet keine PHP-Sessions. PHP 7.4 bleibt unverändert.

Mögliche Auswirkungen hat vor allem session.cookie_samesite = "Lax", z.B. bei Rücksprüngen von Zahlungsanbietern per POST (3-D Secure), Single Sign-on (SAML) oder wenn eine Website in einem iframe auf einer fremden Website eingebettet ist.

Anpassung möglich

Die allermeisten Kunden sind von der Umstellung gar nicht betroffen und müssen nichts unternehmen: WordPress verwendet keine PHP-Sessions, und gängige Frameworks und Anwendungen wie Laravel, Symfony, Shopware, Drupal, TYPO3, Nextcloud, Roundcube oder phpMyAdmin bringen ihr eigenes Session-Handling mit bzw. setzen die Cookie-Optionen selbst. Für die übrigen Fälle gibt es folgende Möglichkeiten:

• session.cookie_samesite kann weiterhin selbst im Airpane Controlpanel in der PHP-Konfiguration der jeweiligen PHP-Version angepasst werden: Lax (Standard), Strict oder none (kein SameSite-Attribut, bisheriges Verhalten).
• session.use_strict_mode und session.cookie_httponly passen wir bei Bedarf gerne auf Anfrage über unseren Support an.
• Entwickler können alle drei Werte auch direkt in ihrer Anwendung überschreiben, z.B. mit ini_set() oder session_set_cookie_params().

Für die Umstellung ist lediglich ein kurzer Neustart der PHP-Dienste nötig, ohne nennenswerten Unterbruch.