PHP-Sicherheitslücke: Webseiten gehen vom Netz, Patch um 16 Uhr

Das Wichtigste in Kürze

• Zwei kritische Sicherheitslücken in der Programmiersprache PHP mit dem Namen PHP2Shell erlauben es Angreifern, Schadcode aus der Ferne auf Webservern auszuführen.

• Das PHP-Projekt hat das Sicherheitsupdate für Mittwoch, den 21. Oktober 2026, um 16 Uhr deutscher Zeit angekündigt.

• Das BSI hält eine großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen des Updates für wahrscheinlich.

• Mainz, die Berliner Charité und die Ruhr-Universität Bochum haben ihre Webseiten vorsorglich abgeschaltet.

Eine kritische PHP-Sicherheitslücke zwingt Betreiber weltweit zum Handeln: Am 21. Oktober um 16:00 Uhr mitteleuropäischer Sommerzeit (14:00 Uhr UTC) veröffentlicht das PHP-Projekt ein Update, das zwei kritische Sicherheitslücken schließt. Über die Lücken lässt sich beliebiger Schadcode übers Netz ausführen. Unter dem Namen PHP2Shell laufen sie unter den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide wurden mit 9,2 auf der zehnstufigen CVSS-v4.0-Skala bewertet, dem gängigen Maßstab für den Schweregrad von Sicherheitslücken.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor weitreichenden Folgen. BSI-Vizepräsident Thomas Caspers hält eine großflächige Ausnutzung kurz nach Erscheinen der Updates für wahrscheinlich. Die Behörde ruft Firmen auf, die Updates ab 16 Uhr direkt einzuspielen. Das BSI stuft die Warnung mit „3 / Orange“ als außerordentlich hoch ein.

Warum die PHP-Sicherheitslücke so gefährlich ist

PHP ist eine Programmiersprache, die auf dem Server im Hintergrund von Webseiten läuft. Auf ihr basiert ein Großteil des Internets, von einfachen Blogs über Nachrichtenportale bis zu Onlineshops und Content-Management-Systemen wie WordPress. Laut dem Computer-Notfallteam der EU-Institutionen (CERT-EU) deutet die Bewertung auf das Risiko einer Codeausführung ohne Anmeldung hin. In der Praxis könnten Angreifer so die volle Kontrolle über eine Website übernehmen, Kundendaten abgreifen oder die Infrastruktur für weitere Angriffe missbrauchen.

Betroffen ist nach Angaben von heise security jede PHP-Version seit PHP 5. Offiziell bestätigt hat das PHP-Projekt die betroffenen und die korrigierten Versionen bis Redaktionsschluss nicht. Diese Details will das PHP-Sicherheitsteam erst mit den Patches bekanntgeben.

Details sind vorzeitig durchgesickert

Brisant macht die Lage, dass die Lücken vor dem Update öffentlich wurden. Die Sicherheitsfirma watchTowr bestätigte laut BleepingComputer, dass es sich um Remote-Code-Execution-Lücken handelt, und konnte CVE-2026-109618 bereits nachstellen. Die Sicherheitsfirma Sansec rechnet mit Massenangriffen innerhalb von 15 Minuten nach Veröffentlichung des Patches. Der Grund: Aus dem veröffentlichten Code-Unterschied lässt sich die Schwachstelle rekonstruieren.

Einem heise-Bericht von 15:42 Uhr zufolge zeigte sich PHP-Release-Manager Volker Dusch erleichtert, dass der Release nach wochenlanger Arbeit gelungen sei.

Mainz, Charité und Bochum gehen vom Netz

CERT-EU riet Organisationen am Dienstag, sich auf sofortiges Patchen vorzubereiten. Wo das nicht möglich ist, sollen Betreiber erwägen, betroffene Seiten offline zu nehmen. Mehrere Einrichtungen sind dem gefolgt:

• Die Landeshauptstadt Mainz hat nach einer Warnung des Bundes mainz.de und mehrere städtische Internetdienste vorübergehend abgeschaltet. Ämter und Bürgerbüros bleiben telefonisch und per E-Mail erreichbar.

• Die Berliner Charité ist offline, darunter die Klinik-Webseite und die Seiten des Berlin Institute of Health.

• Die Ruhr-Universität Bochum sperrt ihre Webseiten von 12.30 Uhr bis voraussichtlich Donnerstag, 12 Uhr, für Zugriffe von außen.

• Auch die Rechnungssoftware easybill ist offline, und der Hoster Uberspace kündigte an, PHP-Dienste ab 15:45 Uhr zeitweise ganz zu deaktivieren.

Auch in den Niederlanden, Finnland und Österreich haben Behörden, Universitäten und Medien Webseiten vorsorglich abgeschaltet.

Ob Webangebote der Stadt Nürnberg, von Behörden oder Unternehmen in der Metropolregion betroffen sind oder vorsorglich abgeschaltet wurden, ist bislang nicht bekannt.

Was Webseitenbetreiber jetzt tun müssen

Die PHP-Sicherheitslücke lässt sich nicht in der Website-Software selbst beheben. Ein Update von WordPress oder einer Erweiterung ersetzt nicht die Aktualisierung von PHP auf dem Server. Wer Managed Hosting nutzt, ist darauf angewiesen, dass der Hoster das Update einspielt.

Ein besonderes Risiko tragen veraltete Installationen. Offiziell gepflegt werden nur PHP 8.2 und neuer. Server mit PHP 8.1 oder älter erhalten keinen offiziellen Fix. Für sie bleibt nur ein Backport durch Hoster oder Linux-Distribution oder ein kurzfristiger Versionswechsel.

Sansec und wortfilter.de empfehlen, alle Systeme mit PHP zu erfassen, beim Hoster nachzufragen, wann das Update eingespielt wird, und nach dem Patch die Server-Logs auf auffällige Zugriffe zu prüfen. Ein Server, der zwischen Release und eigenem Patch erreichbar war, gilt bis zum Gegenbeweis als potenziell kompromittiert.

---

Grundlage: Berichte von heise security und Handelsblatt (dpa) vom 21. Oktober 2026, ergänzt um Angaben von CERT-EU, BSI, Sansec und watchTowr nach Berichten von wortfilter.de, it-daily.net, t-online und ad-hoc-news. Stand: 21. Oktober 2026, 15:45 Uhr.