Zwei kritische Sicherheitslücken in der Programmiersprache PHP können Angreifern ermöglichen, ohne Anmeldung fremden Code auf Webservern auszuführen. Behörden, Kommunen, Krankenhäuser, Unternehmen und Verbände hatten gestern schon ihre Internetauftritte vorsorglich vom Netz genommen. Das PHP-Entwicklerteam veröffentlichte am 21. Oktober 2026 Sicherheitsupdates und fordert Nutzer zur sofortigen Aktualisierung auf. Auch Hotels und Restaurants sind jetzt dringend aufgefordert zu handeln.
Denn PHP ist eine technische Grundlage vieler Webseiten und Internetanwendungen. Nach Angaben der Entwickler seien alle PHP-Installationen gefährdet, die Webanfragen verarbeiteten. Die unter „php2shell“ zusammengefassten Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Heise security berichtet, betroffen seien auch ältere Versionsreihen bis zurück zu PHP 5.
Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden. Auf PHP setzen aber auch andere populäre Content-Management-Systeme wie Moodle, Joomla!, Typo3 und Drupal.
In seiner veröffentlichten Warnung ordnet das Bundesamt für Sicherheit in der Informationstechnik (BSI) das Risiko mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Dies bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, da eine massive Beeinträchtigung des Regelbetriebs droht. Das BSI wies in seiner Mitteilung explizit darauf hin, dass von den Schwachstellen ein herausragendes Bedrohungspotenzial ausgeht.
Es müssten rasch Sicherheitsupdates installiert werden, hieß es. Von den Schwachstellen gehe großes Bedrohungspotenzial aus. Mehrere Bundesländer, Kommunen, Behörden, Universitäten und Krankenhäuser nahmen daraufhin vorsorglich ihre Webseiten vorübergehend vom Netz.
«Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben», sagte der IT-Sicherheitsexperte Christoph Fischer der Deutschen Presse-Agentur. Er forderte ein drastisches Durchgreifen der Betreiber. «Jede ungeschützte PHP-Anwendung ist in diesem Moment eine offene Tür für Kriminelle.»
Der Karlsruher IT-Sicherheitsexperte Christoph Fischer fordert angesichts drohender automatisierter Angriffswellen die Abschaltung ungeschützter Systeme. „Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben“, sagte er der dpa.
Dienstleister prüfen Webseiten und weitere Anwendungen auf verwundbare PHP-Installationen
Für Hotels und Gastronomiebetriebe ist zunächst zu klären, welche ihrer Internetangebote PHP verwenden und ob die Sicherheitskorrekturen bereits installiert wurden. Ansprechpartner sind die betreuende Webagentur, der Hostinganbieter oder der IT-Dienstleister.
Die Prüfung betrifft die Hotel- oder Restaurantwebseite sowie weitere Anwendungen, etwa Buchungs-, Reservierungs- und Bestellsysteme, sofern diese PHP verwenden. Nicht jedes solche Angebot ist automatisch betroffen. Bei extern betriebenen Anwendungen ist der jeweilige Anbieter einzubeziehen.
Eine Checkliste bündelt die erforderlichen Prüfungen und weiteren Maßnahmen
- Betroffene Anwendungen ermitteln lassen: Webagentur, Hostinganbieter oder IT-Dienstleister prüfen, welche Webseiten und Anwendungen eine verwundbare PHP-Installation verwenden.
- Sicherheitskorrekturen bestätigen lassen: Der zuständige Dienstleister bestätigt, dass beide Schwachstellen geschlossen wurden. Das PHP-Team nennt die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Bei abweichenden Anbieterpaketen ist zu klären, ob beide Sicherheitskorrekturen enthalten sind.
- Ältere Installationen gesondert prüfen: Für PHP 8.1 und ältere Versionsreihen ist festzustellen, ob passende Sicherheitskorrekturen verfügbar sind oder eine Umstellung auf eine unterstützte Version erforderlich ist.
- Ungeschützte Anwendungen vorübergehend vom Netz nehmen: Ist eine sofortige Aktualisierung nicht möglich, wird der öffentliche Zugriff bis zur Absicherung gesperrt. Ein Wartungsmodus innerhalb des Redaktionssystems bietet keinen verlässlichen Schutz.
- Externe Anbieter einbeziehen: Bei gemieteten und extern betriebenen Anwendungen ist zu klären, ob die PHP-Installation betroffen ist und erforderliche Sicherheitskorrekturen bereits installiert wurden.
Entwickler stellen auch Korrekturen für einige ältere PHP-Versionen bereit
PHP 8.1 und ältere Versionsreihen erhalten keine regulären Updates mehr vom PHP-Projekt. Einige Distributoren und Anbieter mit Langzeitunterstützung stellten allerdings zurückübertragene Sicherheitskorrekturen bereit, erklären die Entwickler.
Für PHP 7.4, 8.0 und 8.1 habe das Sicherheitsteam außerdem ausnahmsweise minimale Quellcode-Korrekturen veröffentlicht. Diese richteten sich an Administratoren, die PHP selbst aus dem Quellcode erstellen oder keinen entsprechenden Anbieter nutzen könnten.
Vorläufige Konfigurationsänderungen erschweren einzelne Angriffe, ersetzen aber keine Aktualisierung
Das PHP-Team beschreibt Einstellungen, mit denen Administratoren einzelne Angriffswege erschweren könnten. Diese machten eine Installation jedoch nicht sicher. Nur eine Aktualisierung behebe die Schwachstellen vollständig.
Die Entwickler beschreiben beim Apache-Modul „mod_php“ einen nachgewiesenen Angriff, der bereits vor der Ausführung des Anwendungscodes ansetzen könne. Ein innerhalb der Anwendung aktivierter Wartungsmodus verhindert einen solchen Zugriff daher nicht zuverlässig.
Heise security verweist zudem auf Anwendungen in Containern und Geräte mit PHP-basierten Verwaltungsoberflächen, die bei der Prüfung berücksichtigt werden müssten.
Fischer weist gegenüber dpa außerdem auf Schwierigkeiten bei der Aufklärung erfolgreicher Angriffe hin. Häufig sei schwer festzustellen, was passiert sei und welche Daten möglicherweise abgeflossen seien. Er fordert bessere forensische Untersuchungsmöglichkeiten und vorbereitete Notfallpläne.
Bei der Erstellung dieses Artikels kamen KI-gestützte Werkzeuge zum Einsatz. Die Inhalte wurden redaktionell überprüft. Feedback nehmen wir gerne unter news@tageskarte.io entgegen.
Was die PHP-Sicherheitslücke für das Internet bedeutet
Eine gravierende Sicherheitslücke in der Programmiersprache PHP versetzt die IT-Welt und Betreiber von Webseiten in Aufruhr. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und internationale Experten warnen vor akuter Gefahr. Die wichtigsten Fragen und Antworten:
Was genau ist passiert und wie schwer wiegt das Problem?
In der weit verbreiteten Programmiersprache PHP, die als technisches Fundament für einen Großteil aller weltweiten Webseiten dient, wurden zwei extrem kritische Schwachstellen entdeckt. Unter dem Namen «PHP2Shell» (registriert unter CVE-2026-109618 und CVE-2026-109619) ermöglichen diese Fehler Kriminellen, aus der Ferne eigenen Schadcode auf Servern auszuführen.
Weil dadurch eine vollständige Übernahme betroffener Systeme droht und die Details der Lücke vorab unbeabsichtigt an die Öffentlichkeit gelangten, stufen Behörden und IT-Sicherheitsexperten die Lage als außerordentlichen Notfall ein. Viele Webseitenbetreiber haben ihre Internetauftritte vorsorglich vom Netz genommen. Inzwischen sind aber viele Websites wieder online, nachdem die Betreiber die Updates eingespielt hatten.
Wie konnten die Sicherheitslücken so lange unentdeckt bleiben?
Tatsächlich ist die fundamentale Schwachstelle im Speichersystem von PHP seit mehr als 20 Jahren in Fachkreisen ein Thema. Bereits 2004 stieß der deutsche IT-Experte Stefan Esser auf ähnliche Sicherheitslücken. PHP setzt beim Verarbeiten von Anfragen ein striktes Limit für den Arbeitsspeicher. Wenn eine Anfrage dieses Limit überschreitet, bricht der Server die Verarbeitung abrupt ab und hinterlässt einen technisch instabilen Zustand. In den folgenden zwei Jahrzehnten wurden zwar ähnliche Fehler von Sicherheitsteams gemeldet. Da aber niemand den praktischen Nachweis erbrachte, wie man darüber eine Webseite hacken kann, wurden die Stellen im Code nicht repariert.
Welche Rolle spielt bei der PHP-Krise die Künstliche Intelligenz?
Es spricht viel dafür, dass die Fehler durch den massiven Einsatz von Künstlicher Intelligenz aufgespürt wurden. Im Sommer 2026 startete der KI-Riese OpenAI gemeinsam mit den IT-Sicherheitsfirmen Calif und Wiz.io und weiteren Partnern ein Projekt, um das Internet mit Hilfe KI gezielt nach uralten, unentdeckten Sicherheitslücken zu durchsuchen. Die Forscher gaben wohl den alten Hinweisen von 2004 eine zweite Chance und fütterten KI-Modelle mit den Fragestellungen rund um den unaufgeräumten Speicher. Die KI und das Forscherteam wiesen nach Angaben von Calif.io im August 2026 nach, dass ein Angreifer gezielt riesige Anfragen an eine PHP-Webseite senden kann, um letztlich in den Server einzudringen und die vollständige Kontrolle über den Rechner zu übernehmen.
Nutzen die Angreifer auch KI?
Ja, KI ist auch ein wichtiger Bestandteil des Bedrohungsszenarios. Angreifer können Künstliche Intelligenz einsetzen, um die Schwachstellen der ungeschützten PHP-Server zu scannen und Angriffe in Sekundenschnelle ohne manuellen Aufwand im großen Stil vorzunehmen. KI wirkt in dieser Krise somit als Katalysator auf beiden Seiten - beim Angreifen wie beim Verteidigen.
Wie kann ich als Betreiber einer eigenen Webseite prüfen, ob ich sicher bin?
Betreiber von Webseiten - egal ob Blogs, Vereinshomepages oder Webseiten von Unternehmen und öffentlichen Einrichtungen - müssen die verwendete PHP-Version ihrer Serverumgebung prüfen. Das Entwicklerteam hat am Mittwoch entsprechende Notfall-Updates bereitgestellt.
Große Webhoster wie Ionos haben bereits in ihren Systemen die PHP-Version aktualisiert, sodass zumindest diejenigen Websites geschützt sind, die automatische Sicherheitsupdates vorgesehen haben. Aber auch wenn der Webhoster sich um das Problem kümmert, sollten Anwender überprüfen, ob eine geeignete PHP-Version eingespielt wurde, rät Thomas Boele von dem Sicherheitsunternehmen Check Point. «Vertrauen ist gut, Kontrolle ist besser.»
Welche Gefahr besteht bei vernetzten Geräten?
«Die Gefahr endet nicht bei öffentlichen Webseiten», sagt Alexander Opel, Cybersicherheitsexperte bei ESET. Eine verwundbare PHP-Version könne auch in der webbasierten Verwaltungsoberfläche eines vernetzten Geräts stecken. «Dies können Router, Überwachungssysteme, Netzwerkspeicher oder Lösungen zur Gebäudeautomation sein.» Täter könnten unter Umständen Daten auslesen, Einstellungen manipulieren oder das Gerät als Ausgangspunkt für weitere Angriffe im Netzwerk nutzen.
Wie geht es jetzt weiter und wann ist die Gefahr gebannt?
Die weltweite Welle automatisierter Angriffe läuft derzeit an und wird voraussichtlich noch über Wochen und Monate hinweg andauern, da Angreifer unermüdlich nach ungepatchten Systemen suchen. Entwarnung kann erst gegeben werden, wenn die breite Masse der Webhoster und Systemadministratoren die Sicherheitsupdates eingespielt hat.
Wer kümmert sich um die Sicherheit von PHP?
Da es sich um ein Open-Source-Projekt handelt, obliegt die Absicherung keinem einzelnen Konzern, sondern dem ehrenamtlichen PHP Security Team im Zusammenspiel mit einer globalen Entwickler-Community, die eingehende Sicherheitsmeldungen prüft und Notfall-Updates bereitstellt. Um diesen Prozess professionell zu sichern, koordiniert und finanziert die gemeinnützige PHP Stiftung Hauptentwickler sowie ein spezialisiertes Ökosystem-Sicherheitsteam, das bei kritischen Schwachstellen wie der aktuellen Notfall-Lücke die Entwicklung von Patches und die weltweite Offenlegung steuert.
Welche Lehren zieht die Digitalbranche aus der PHP-Krise?
Tanja Rückert, Vizepräsidentin des Digitalverbandes Bitkom, sagt, durch den Einsatz moderner KI-Modelle habe sich die Geschwindigkeit, mit der Schwachstellen identifiziert und ausgenutzt werden, massiv erhöht. Unternehmen müssten ihre bisherigen, oft reaktiven Patch-Prozesse drastisch beschleunigen, um mit der neuen Bedrohungslage Schritt zu halten.
Gleichzeitig sei es notwendig, präventive Maßnahmen zu verstärken, indem eigene Software-Anwendungen intern mit neuen KI-Modellen auf potenzielle Gefahrenstellen geprüft werden. Die Herausforderung beschränke sich dabei nicht nur auf populäre Webanwendungen, sondern betreffe die gesamte Softwarelandschaft. «Unternehmen sind nun gefordert, ihre Sicherheitsarchitekturen an diese beschleunigte Taktung der digitalen Bedrohungen anzupassen.»
Technologie
