0 
Kritische PHP-Lücke setzt Websites weltweit unter Druck – Behörden schalten Portale ab, Sicherheitsupdate ist da
Eine neu entdeckte Sicherheitslücke erschüttert derzeit die Basis unzähliger Webseiten und Onlinedienste. Betroffen ist die weit verbreitete Programmiersprache PHP, die auf einem großen Teil des Internets eingesetzt wird – von privaten Blogs über Nachrichtenseiten bis hin zu Onlineshops und Systemen wie WordPress.
Allein mit WordPress werden Schätzungen zufolge weltweit rund 400 bis 500 Millionen Webseiten betrieben. Auch andere verbreitete Systeme wie Moodle, Joomla!, Typo3 und Drupal bauen auf PHP auf. Entsprechend groß ist die mögliche Reichweite der aktuellen Bedrohung.
Neben dem IT-Sicherheitsunternehmen Huntress und dem offiziellen PHP-Sicherheitsteam warnt inzwischen auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einem akuten Ernstfall. Betreiber von Internetangeboten weltweit sind aufgefordert, umgehend zu reagieren.
BSI stuft die Lage als kritisch ein
Das BSI hat eine offizielle Cybersicherheitswarnung veröffentlicht und das Risiko unter dem Aktenzeichen BITS-H Nr. 2026-297981-1032 mit der Warnstufe „3 / Orange“ als außerordentlich hoch bewertet. Nach Einschätzung der Behörde droht ohne schnelle Gegenmaßnahmen eine massive Beeinträchtigung des Regelbetriebs. Das Amt spricht ausdrücklich von einem herausragenden Bedrohungspotenzial.
Besonders deutlich fällt die Empfehlung für den Notfall aus: Können Sicherheitsupdates nicht rechtzeitig eingespielt werden, sollte laut BSI sogar erwogen werden, betroffene Webserver vorübergehend vom Internet zu trennen, um eine Kompromittierung zu verhindern. Dass eine Bundesbehörde diesen Schritt ausdrücklich nennt, zeigt die Brisanz der Lage.
Zwei kritische Lücken mit hohem Schadenspotenzial
Unter der Bezeichnung „PHP2Shell“ warnen Fachleute vor zwei schwerwiegenden Schwachstellen im Kern von PHP. Sie werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt.
Die Gefahr ist erheblich: Angreifer könnten die Lücken nutzen, um ohne vorherige Anmeldung aus der Ferne eigenen Schadcode auf betroffenen Servern auszuführen. Im schlimmsten Fall ermöglicht das die vollständige Übernahme einer Website. Zudem könnten sensible Datenbanken und Kundendaten abgegriffen oder kompromittierte Server für weitere Angriffe missbraucht werden.
Zusätzlichen Druck erzeugt der Umstand, dass Details zu den Schwachstellen offenbar versehentlich vorzeitig öffentlich wurden. Sicherheitsexperten rechnen deshalb damit, dass Kriminelle schon bald automatisierte Skripte einsetzen, um verwundbare Server massenhaft und in sehr kurzer Zeit im Internet aufzuspüren und zu kapern.
Länder, Kommunen und Einrichtungen reagieren mit Abschaltungen
Die Bedrohung hat bereits konkrete Folgen. Mehrere Bundesländer, Kommunen und Behörden sind den Warnungen gefolgt und haben Teile ihrer Online-Angebote vorsorglich abgeschaltet, um Angriffe zu verhindern. Ähnlich reagierten auch Universitäten und Krankenhäuser.
Die Maßnahmen sollen vor allem verhindern, dass ungepatchte Systeme zur Angriffsfläche werden, solange nicht überall abgesicherte Versionen eingespielt sind.
Baden-Württembergs Innenminister Manuel Hagel (CDU) erklärte, der Vorfall zeige erneut, dass sich die Cybersicherheitslage weiter verschärfe. Man müsse deshalb jederzeit in der Lage sein, exponierte Systeme bei akuten Gefährdungen kurzfristig vom Netz zu nehmen, um Schaden abzuwenden.
Sicherheitsupdate inzwischen veröffentlicht
Die Entwickler des PHP-Projekts haben am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache veröffentlicht, in denen die Sicherheitslücken geschlossen wurden. Der Fachdienst Heise Security warnte zugleich, dass funktionierende Exploits bereits innerhalb weniger Stunden, spätestens aber binnen Tagen auftauchen könnten.
Für Betreiber bedeutet das: Verfügbare Updates müssen ohne Verzögerung installiert werden. Wer das Risiko einer Kompromittierung nicht eingehen will und nicht sofort patchen kann, hat im Zweifel nur die Möglichkeit, PHP-basierte Webserver vorübergehend vom Netz zu nehmen.
Klare Empfehlungen für Betreiber und Nutzer
Für Betreiber von Webseiten, Shops und digitalen Plattformen gilt derzeit höchste Eile. Experten raten dazu, sofort Kontakt mit Administratoren, IT-Dienstleistern oder Hosting-Anbietern aufzunehmen. Verfügbare Sicherheitsupdates für PHP und die eingesetzten Systeme sollten ohne Verzögerung installiert werden.
Besonders problematisch sind ältere PHP-Versionen, die nicht mehr offiziell unterstützt werden. Sie gelten in der aktuellen Lage als kaum kalkulierbares Risiko und sollten möglichst sofort aktualisiert oder isoliert werden.
Für gewöhnliche Internetnutzer besteht auf Smartphone oder PC zunächst kein direkter Handlungsbedarf. Die Schwachstelle sitzt nicht auf den Endgeräten, sondern auf den Servern der Anbieter. Dennoch können auch Verbraucher indirekt betroffen sein – etwa durch Ausfälle von Online-Diensten oder durch mögliche Datenabflüsse bei ungeschützten Webseiten.
Weltweit arbeiten PHP-Entwickler und Hosting-Unternehmen mit Hochdruck daran, Systeme abzusichern. Die Lage gilt in der IT-Sicherheitsbranche als außergewöhnlich ernst.
Quelle: dpa/bearbeitet durch Julian Weber
Quelle: dpa/bearbeitet durch Julian Weber
