Ein schwerwiegender Programmierfehler in der Webskriptsprache PHP bedroht seit dem 21. Oktober 2026 Millionen von Webseiten und Onlinediensten weltweit. Das Bundesamt für Sicherheit in der Informationstechnik stufte das Risiko als kritisch ein und rief Betreiber zu sofortigen Sicherheitsupdates oder einer temporären Abschaltung betroffener Server auf.
Schwachstellen unter dem Namen php2shell gefährden das Internet
Eine im Kern der Programmiersprache PHP entdeckte Sicherheitslücke versetzt IT-Verantwortliche rund um den Globus in Alarmbereitschaft. Betroffen ist ein zentraler Baustein des modernen Internets, auf dem einfache Blogs, große Nachrichtenportale, komplexe Onlineshops und Content-Management-Systeme wie WordPress aufbauen. Sicherheitsexperten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden. Auch andere Systeme wie Joomla!, Drupal, Typo3 und Moodle greifen auf die Technologie zurück.
Unter dem Namen php2shell
warnen IT-Sicherheitsunternehmen und Behörden vor zwei kritischen Schwachstellen, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden. Beide Fehler wurden mit einem CVSS-v4.0-Wert von 9,2 bewertet. Kriminelle Akteure können die Schwachstellen ausnutzen, um ohne vorherige Anmeldung aus der Ferne eigenen Schadcode auf betroffenen Servern auszuführen. Dies ermöglicht Angreifern die vollständige Kontrolle über Webseiten und Onlinedienste.
Das PHP-Sicherheitsteam gab an, dass die Fehler in allen PHP-Versionen seit PHP 5 gefunden wurden. Um CVE-2026-109619 auszunutzen, benötigt ein Angreifer mindestens zwei HTTP-Anfragen, wobei die erste einen instabilen Zustand in der Fehlerverwaltung erzeugt und die zweite diesen ausnutzt.
Bundesamt für Sicherheit in der Informationstechnik warnt vor sofortigen Angriffen
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab eine offizielle Cybersicherheitswarnung heraus und ordnete das Risiko unter dem Aktenzeichen BITS-H Nr. 2026-297981-1032 mit der Warnstufe 3 / Orange
ein. Behörden und IT-Sicherheitsfachleute betonten, dass es sich hierbei nicht um ein alltägliches Routineupdate handelt, sondern um eine der gravierendsten Sicherheitslagen der letzten Jahre.
Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!
Thomas Caspers, BSI-Vizepräsident
Wegen eines unbeabsichtigten Vorab-Leaks von Details zu den Schwachstellen steht die globale IT-Branche unter erheblichem Zeitdruck. Experten befürchten, dass Kriminelle automatisierte Skripte einsetzen, um ungeschützte Server aufzuspüren. Das BSI empfahl im Ernstfall drastische Schritte, wie das Trennen der betroffenen Webserver vom Netz, falls Patches nicht rechtzeitig eingespielt werden können.
Behörden und Kliniken schalten Online-Dienste ab
Die akute Bedrohungslage führte zu schnellen Reaktionen im öffentlichen Sektor. Erste Kommunen, Behörden, Universitäten und Krankenhäuser nahmen ihre Online-Angebote kurzfristig vom Netz, um möglichen Angriffen zuvorzukommen. Die Landeshauptstadt Mainz schaltete vorsorglich mehrere städtische Internetdienste und ihr zentrales Webportal mainz.de ab. Die Ämter blieben telefonisch und per E-Mail erreichbar, vereinbarte Termine fanden wie geplant statt.
In Baden-Württemberg nahm die Landesregierung ihre Webseiten vorübergehend vom Netz. Das Staatsministerium teilte mit, dass diese Maßnahme dem vorsorglichen Schutz der Infrastruktur diene, bis die Entwickler die erforderlichen Sicherheitsupdates bereitstellen. Auch das Universitätsklinikum Freiburg, die Unikliniken Mannheim und Heidelberg sowie die Patientinnen-App Meine Uniklinik
trennten ihre Internetseiten vorübergehend vom Internet.
Hosting-Anbieter und Entwickler ringen um Patches für Millionen Server
Die Entwickler der Programmiersprache sowie Hosting-Anbieter weltweit arbeiten ununterbrochen daran, korrigierte Softwareversionen bereitzustellen. Ob eine Webseite den notwendigen Patch erhält, hängt maßgeblich vom verwendeten PHP-Zweig und dem jeweiligen Hosting-Anbieter ab. Aktive Updates erscheinen als Point-Releases für die Zweige 8.2.x, 8.3.x, 8.4.x und 8.5.x. Ältere Versionen wie PHP 8.1 oder älter haben das offizielle Support-Ende erreicht und erhalten keine offiziellen Sicherheitspatches mehr, wodurch sie ein besonders hohes Risiko darstellen.
Neben den Patches hat das PHP-Team eine Reihe von Konfigurationseinstellungen veröffentlicht, die den Missbrauch etwas eindämmen können, warnen jedoch davor, diese als etwas anderes als eine temporäre Krücke zu betrachten. Netzwerk- und Cloud-Anbieter wie Cloudflare stellten zusätzlich temporäre Schutzregeln zur Verfügung, um Angriffe abzuwehren.
Für normale Internetnutzer beim alltäglichen Surfen am Smartphone oder PC besteht kein direkter Handlungsbedarf, da die Schwachstellen auf den Hintergrundservern liegen und nicht auf den Endgeräten der Anwender. Dennoch können Verbraucher indirekt durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf ungeschützten Plattformen betroffen sein.
Auch interessant
