Kritische PHP-Sicherheitslücke zwingt Behörden und Kliniken offline
Eine hochkritische Schwachstelle in der Programmiersprache PHP bedroht Millionen Webseiten. Das BSI warnt vor der Möglichkeit, Server aus der Ferne zu übernehmen. Mehrere Bundesländer, Kommunen, Universitäten und Krankenhäuser haben ihre Online-Angebote vorsorglich abgeschaltet.
Eine neu entdeckte, hochkritische Sicherheitslücke in der weit verbreiteten Programmiersprache PHP hat weltweit den Betrieb zahlreicher Webseiten und Onlinedienste erschüttert. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine offizielle Cybersicherheitswarnung herausgegeben und das Risiko mit der Warnstufe «3 / Orange» als außerordentlich hoch eingestuft. Demnach müssen unverzüglich Gegenmaßnahmen ergriffen werden, da eine starke Beeinträchtigung des Regelbetriebs droht.
Betroffen ist die Softwarebasis eines Großteils des Internets – von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress. Die Schwachstellen sind unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert und werden von Sicherheitsexperten unter dem Namen «PHP2Shell» geführt. Sie ermöglichen Angreifern, ohne vorherige Anmeldung aus der Ferne eigenen Schadcode auf den betroffenen Servern auszuführen (Remote Code Execution). In der Praxis können Kriminelle dadurch die vollständige Kontrolle über eine Website übernehmen, sensible Datenbanken und Kundendaten abgreifen oder die Infrastruktur für weitere Cyberattacken missbrauchen.
Die Warnungen der Sicherheitsbehörden zeigten rasch Auswirkungen im öffentlichen Leben. Mehrere Bundesländer, Kommunen, Behörden, Universitäten und Krankenhäuser sind der Empfehlung des BSI gefolgt und haben ihre Online-Angebote vorübergehend abgeschaltet, bis Entwickler die erforderlichen Sicherheitsupdates bereitstellen. Baden-Württembergs Innenminister Manuel Hagel (CDU) sagte, der Vorfall zeige erneut, dass sich die Cybersicherheitslage weiter verschärfe: «Wir müssen deshalb jederzeit in der Lage sein, exponierte Systeme bei akuten Gefährdungen kurzfristig vom Netz zu nehmen, um Schaden abzuwenden.»
Das BSI machte in seiner Warnung deutlich, wie ernst die Lage ist, falls nicht umgehend Sicherheitsupdates installiert werden können: «Alternativ kann eine vorübergehende Trennung des Webservers vom Internet bis zum Einspringen des Patches erwogen werden, um eine Kompromittierung zu verhindern, sollten Patches nicht kurzfristig installiert werden können.» Dass die Behörde Betreibern von Internetangeboten explizit rät, ihre Server im Zweifel komplett vom Netz zu nehmen, unterstreicht die Dringlichkeit.
Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund. Dennoch können Verbraucher indirekt betroffen sein – etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten.
Der Zeitdruck für die gesamte IT-Branche ist immens, da detaillierte Informationen zur Schwachstelle unbeabsichtigt vorab an die Öffentlichkeit gelangten. Branchenexperten befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen könnten, um ungeschützte Server im Internet im Sekundentakt aufzuspüren und zu kapern. Der Expertendienst Heise Security warnte Website-Betreiber, dass funktionierende Exploits in Stunden-, spätestens Tagesfrist erscheinen würden.
Die Entwickler des PHP-Projektes haben inzwischen aktualisierte Versionen der Webskriptsprache veröffentlicht, in denen die Sicherheitslücken geschlossen wurden. Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen, die technisch auf PHP aufsetzen, gilt höchste Dringlichkeit. IT-Experten raten dringend dazu, sich unverzüglich mit den zuständigen Systemadministratoren, IT-Dienstleistern oder Webhosting-Anbietern in Verbindung zu setzen und verfügbare Patches ohne Verzug einzuspielen. Ältere PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, stellen ein unkalkulierbares Risiko dar und sollten isoliert oder umgehend aktualisiert werden. Wer das Risiko einer Kompromittierung nicht eingehen wolle, habe nur eine Option, nämlich die mit PHP betriebenen Webserver vom Netz zu trennen, solange das Update nicht installiert wurde.
6
