PHP-Sicherheitslücken: Behörden schalten Webdienste ab
Kritische PHP-Lücken: Behörden schalten Webangebote ab
Zwei Sicherheitslücken in PHP gefährden Webanwendungen weltweit. Auch in Deutschland wurden Dienste vorsorglich abgeschaltet. Sicherheitsupdates stehen inzwischen bereit, müssen aber von den Betreibern eingespielt werden.
Stand: 22. Oktober 2026
Zwei kritische Schwachstellen in der weitverbreiteten Web-Programmiersprache PHP haben zu vorsorglichen Abschaltungen von Internetangeboten geführt. Angreifer könnten auf verwundbaren Servern aus der Ferne Schadcode ausführen, ohne sich zuvor anmelden zu müssen. Die PHP-Entwickler veröffentlichten am 21. Oktober Sicherheitsupdates und rufen zur sofortigen Aktualisierung auf.
Wie konkret die Folgen für öffentliche Dienste ausfallen, zeigt Offenbach am Main: Die Stadt kündigte am Mittwoch an, ihr politisches Informationssystem, den Bewerbermanager und eine Plattform zum Datenaustausch vom Netz zu nehmen. Die Trennung sollte bis zur Installation der Sicherheitsupdates gelten. Weitere Systeme würden überprüft, teilte die Stadt mit. Stadt Offenbach am Main
Warum die Sicherheitslücken so weit reichen
PHP wird auf Servern eingesetzt, um Webseiten und Anwendungen auszuführen. Die Warnung betrifft deshalb die technische Grundlage vieler Angebote. Nach Angaben des PHP-Projekts sind grundsätzlich PHP-Installationen gefährdet, die Webanfragen verarbeiten. Dazu gehören verschiedene verbreitete Betriebsarten. Das höchste Risiko sehen die Entwickler beim Einsatz als Apache-Modul „mod_php“. 2026
Die Schwachstellen werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt. CERT-EU nennt für beide einen Schweregrad von 9,2 auf der zehnstufigen CVSS-Skala. Sie betreffen Fehler beim Umgang mit Speicher und internen Zuständen. Unter bestimmten Bedingungen lässt sich darüber fremder Programmcode auf dem Server ausführen. Critical Vulnerabilities in PHP
Die Reichweite geht über offensichtlich erkennbare PHP-Webseiten hinaus. Europäische Sicherheitsbehörden weisen darauf hin, dass PHP auch im Hintergrund kommerzieller und quelloffener Software steckt. Betreiber müssen daher prüfen, ob eingesetzte Produkte betroffen sind, selbst wenn ihnen die technische Abhängigkeit bisher nicht bekannt war.
Auch Hochschulen trennten Systeme vom Netz
Das Rechenzentrum der Universität Freiburg meldete am 21. Oktober, mehrere zentrale Systeme vorsorglich vom Netz getrennt zu haben. Zum Zeitpunkt der Mitteilung wartete es noch auf die für den Nachmittag angekündigten Patches. Dezentrale Administratoren wurden aufgefordert, eigene PHP-Dienste zu prüfen und ihre Erreichbarkeit bis zur Aktualisierung einzuschränken. Rechenzentrum
Solche Abschaltungen sind Schutzmaßnahmen. Sie belegen für sich genommen weder einen erfolgreichen Angriff noch einen Diebstahl von Daten. Für Nutzer können sie dennoch spürbare Folgen haben: Informationen und digitale Verwaltungsangebote stehen während der Unterbrechung nicht wie gewohnt zur Verfügung.
Eine belastbare Gesamtzahl der abgeschalteten Angebote oder erfolgreich angegriffenen Systeme lässt sich aus den ausgewerteten Primärquellen nicht ableiten. Auch der aktuelle Betriebszustand jedes einzelnen Dienstes ist damit nicht geklärt.
Updates sind verfügbar
Für die unterstützten PHP-Versionsreihen wurden folgende Sicherheitsversionen veröffentlicht:
| Versionsreihe | Sicherheitsversion |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Die Entwickler betonen, dass nur eine Aktualisierung die Lücken vollständig behebt. Für ältere Versionsreihen können je nach Anbieter zurückübertragene Sicherheitskorrekturen verfügbar sein. Betreiber müssen deren Verfügbarkeit und Installation mit ihrem zuständigen Anbieter klären
In einer gemeinsamen Erklärung fordern unter anderem ENISA, CERT-EU und Europol Organisationen auf, ihre PHP-Anwendungen zu erfassen, Hostinganbieter einzubeziehen und die Updates einzuspielen. Öffentlich erreichbare Systeme sollen Vorrang haben. Ist eine unmittelbare Absicherung nicht möglich, sollen Betreiber erwägen, gefährdete Anwendungen vorübergehend vom öffentlichen Netz zu trennen. ENISA
Was die Warnung für Internetnutzer bedeutet
Die technische Aktualisierung liegt bei den Verantwortlichen für die Server. Aus der PHP-Warnung folgt daher keine allgemeine Aufforderung, auf privaten Computern oder Smartphones selbst PHP zu installieren oder zu aktualisieren.
Die Formulierung, der Vorfall treffe „praktisch das ganze Internet“, greift zu weit. Bestätigt ist eine kritische Gefährdung zahlreicher PHP-basierter Webanwendungen. Daraus lässt sich weder ein Ausfall des gesamten Internets noch ein erfolgreicher Angriff auf jede betroffene Installation ableiten.
Quellen und Transparenz:
Grundlage sind die Sicherheitsmitteilungen des PHP-Projekts, von CERT-EU und ENISA sowie Mitteilungen der Stadt Offenbach und der Universität Freiburg vom 21. Oktober 2026. Die im Themenvorschlag genannte Professorenwarnung wird mangels überprüfbarer Originalquelle nicht als Zitat übernommen. Die dokumentierten Abschaltungen werden als Maßnahmen vom 21. Oktober beschrieben; ihr Fortbestand am 22. Oktober ist damit nicht bestätigt.
🔔 Unabhängiger Journalismus lebt von Reichweite. Folgen Sie auf X, Linkedin oder Instagram und bleiben Sie informiert
