0 
Eine gravierende Sicherheitslücke in der weit verbreiteten Skriptsprache PHP sorgt international weiter für Alarm. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und Fachleute aus dem In- und Ausland warnen vor einer akuten Bedrohung für viele Webseiten und vernetzte Systeme. Hier die wichtigsten Fragen und Antworten.
Was ist passiert und wie ernst ist die Lage?
In PHP, das als technisches Fundament für einen großen Teil der Webseiten weltweit dient, wurden zwei besonders kritische Schwachstellen entdeckt. Die unter dem Namen „PHP2Shell“ bekannten Lücken (CVE-2026-109618 und CVE-2026-109619) erlauben es Angreifern, aus der Ferne schädlichen Code auf betroffenen Servern auszuführen.
Im schlimmsten Fall können Systeme dadurch komplett übernommen werden. Weil technische Details der Lücken vorab unbeabsichtigt öffentlich wurden, sprechen Behörden und Sicherheitsexperten von einem außergewöhnlichen Notfall. Zahlreiche Betreiber hatten ihre Seiten vorsorglich vorübergehend abgeschaltet. Inzwischen sind jedoch viele Webseiten nach dem Einspielen der Updates wieder erreichbar.
Sind persönliche Daten bei Online-Diensten oder Shops gefährdet?
Ja, indirekt besteht ein Risiko. Nutzt eine Website, ein Behördenportal oder ein Onlineshop eine verwundbare PHP-Version und wurde noch kein Schutz eingespielt, könnten Angreifer Zugriff auf die dahinterliegenden Datenbanken erhalten. Betroffen sein könnten sensible Informationen wie Kundendaten, Passwörter oder Kontaktdetails.
Für die Geräte der Nutzerinnen und Nutzer selbst – etwa Smartphones, Tablets oder Computer – besteht jedoch keine unmittelbare Gefahr. Die Schwachstelle betrifft die Server im Hintergrund, nicht die Endgeräte. Gelangt ein Angreifer aber an die Kontrolle über einen Webserver, kann dieser auch als Ausgangspunkt für weitere Angriffe auf interne Netzwerke missbraucht werden.
Wie konnten die Sicherheitslücken so lange unentdeckt bleiben?
Nach Angaben von Fachleuten ist die grundlegende Schwachstelle im Speichersystem von PHP in Sicherheitskreisen seit mehr als 20 Jahren bekannt. Bereits 2004 hatte der deutsche IT-Experte Stefan Esser auf ähnliche Probleme hingewiesen.
Hintergrund ist ein Verhalten bei der Speicherbegrenzung von PHP: Wenn Anfragen das vorgegebene Arbeitsspeicherlimit überschreiten, kann die Verarbeitung abrupt abbrechen und einen technisch instabilen Zustand hinterlassen. Ähnliche Fehler wurden in den Folgejahren zwar wiederholt gemeldet. Weil jedoch lange kein praktischer Nachweis vorlag, wie sich darüber tatsächlich ein Server übernehmen lässt, blieben die betroffenen Code-Stellen offenbar unangetastet.
Welche Bedeutung hat Künstliche Intelligenz in dieser Krise?
Noch ist nicht jede Einzelheit öffentlich bekannt. Vieles deutet aber darauf hin, dass moderne KI-Werkzeuge bei der Entdeckung der Schwachstellen eine wichtige Rolle gespielt haben.
Demnach startete OpenAI im Sommer 2026 gemeinsam mit den Sicherheitsfirmen Calif und Wiz.io sowie weiteren Partnern ein Projekt, um das Internet mit Hilfe von KI gezielt nach sehr alten, bislang unentdeckten Schwachstellen zu durchsuchen. Nach Angaben aus dem Umfeld der beteiligten Forscher wurden frühere Hinweise aus dem Jahr 2004 erneut aufgegriffen und KI-Modelle mit Fragen rund um das problematische Speicherverhalten von PHP trainiert. Im August 2026 soll dann nachgewiesen worden sein, dass sich durch gezielt riesige Anfragen ein Eindringen in den Server und letztlich die vollständige Übernahme des Systems erreichen lässt.
Nutzen Angreifer ebenfalls KI?
Ja. KI verschärft auch das Bedrohungsszenario. Cyberkriminelle können solche Systeme nutzen, um anfällige PHP-Installationen automatisiert aufzuspüren und Angriffe in sehr kurzer Zeit in großem Umfang zu starten. Künstliche Intelligenz wirkt in dieser Krise damit als Beschleuniger auf beiden Seiten – bei der Abwehr ebenso wie bei den Angreifern.
Wie können Betreiber prüfen, ob ihre Website betroffen ist?
Wer eine eigene Internetseite betreibt – ob privater Blog, Vereinsseite, Unternehmensauftritt oder Portal einer öffentlichen Einrichtung – sollte umgehend die eingesetzte PHP-Version kontrollieren. Das Entwicklerteam hat bereits Notfall-Updates veröffentlicht.
Große Hosting-Anbieter wie Ionos haben ihre Plattformen teilweise schon aktualisiert. Davon profitieren vor allem Webseiten, bei denen automatische Sicherheitsupdates aktiviert sind. Fachleute raten aber dennoch dazu, die tatsächlich eingesetzte PHP-Version selbst zu überprüfen. Sinngemäß gilt: Vertrauen in den Hoster ist gut, Kontrolle bleibt notwendig.
Welche Gefahr besteht bei vernetzten Geräten?
Die Gefahr beschränkt sich nicht nur auf klassische Webseiten. Verwundbare PHP-Versionen können auch in webbasierten Verwaltungsoberflächen anderer Geräte stecken – etwa in Routern, Überwachungssystemen, Netzwerkspeichern oder Lösungen zur Gebäudeautomation.
In solchen Fällen könnten Angreifer Daten auslesen, Einstellungen manipulieren oder das jeweilige Gerät als Einstiegspunkt für weitere Attacken im Netzwerk nutzen. Gerade für Unternehmen kann daraus ein erhebliches Risiko entstehen, wenn eine unscheinbare Administrationsoberfläche zur Hintertür ins interne Netz wird.
Wie geht es nun weiter und wann ist Entwarnung möglich?
Die Zahl automatisierter Angriffe steigt derzeit weltweit an und dürfte noch über Wochen oder sogar Monate hoch bleiben, weil Angreifer gezielt nach ungepatchten Systemen suchen. Wirklich entspannen wird sich die Lage erst, wenn ein Großteil der Webhoster und Administratoren die verfügbaren Sicherheitsupdates installiert hat.
Veraltete PHP-Versionen, für die es keine offiziellen Patches mehr gibt, sollten möglichst isoliert oder sofort außer Betrieb genommen werden, damit sie nicht dauerhaft ein Einfallstor für Cyberangriffe bleiben.
Wer kümmert sich um die Sicherheit von PHP?
PHP ist ein Open-Source-Projekt. Für die Sicherheit ist daher kein einzelner Konzern verantwortlich, sondern das PHP Security Team gemeinsam mit einer weltweiten Entwickler-Community, die Sicherheitsmeldungen prüft und Notfall-Updates bereitstellt.
Unterstützt wird dieser Prozess durch die gemeinnützige PHP Foundation, die Hauptentwickler finanziert und ein spezialisiertes Sicherheitsteam koordiniert. Bei kritischen Schwachstellen wie der aktuellen Notfall-Lücke spielt diese Struktur eine zentrale Rolle bei der Entwicklung von Patches und der weltweiten Offenlegung.
Welche Lehren zieht die Digitalbranche aus der PHP-Krise?
Aus Sicht der Branche zeigt der Vorfall, wie stark KI das Tempo bei der Suche nach Schwachstellen und bei deren Ausnutzung erhöht hat. Unternehmen müssen deshalb ihre oft noch eher reaktiven Patch-Prozesse deutlich beschleunigen, um mit der neuen Bedrohungslage Schritt zu halten.
Zugleich gewinnt Prävention an Bedeutung: Eigene Anwendungen sollten verstärkt mit modernen KI-Werkzeugen auf mögliche Schwachstellen überprüft werden. Die Herausforderung betrifft dabei nicht nur populäre Webdienste, sondern die gesamte Softwarelandschaft. Unternehmen müssen ihre Sicherheitsarchitekturen an die neue, deutlich schnellere Taktung digitaler Bedrohungen anpassen.
Quelle: dpa/bearbeitet durch Julian Weber
