Eine neu entdeckte, schwerwiegende Sicherheitslücke bringt weltweit das Fundament zahlreicher Webseiten und Onlinedienste ins Wanken. Betroffen ist die weit verbreitete Programmiersprache PHP, auf der ein Großteil des gesamten Internets basiert - von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.
Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden. Auf PHP setzen aber auch andere populäre Content-Management-Systeme wie Moodle, Joomla!, Typo3 und Drupal.
Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam schlug am Mittwoch, 21. Oktober 2026, auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) Alarm und gab eine offizielle Cybersicherheitswarnung heraus.
BSI stuft Lage als kritisch ein
In seiner veröffentlichten Warnung ordnet das BSI das Risiko mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Dies bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, da eine massive Beeinträchtigung des Regelbetriebs droht. Das BSI wies in seiner Mitteilung explizit darauf hin, dass von den Schwachstellen ein herausragendes Bedrohungspotenzial ausgeht.
Seiten gehen offline, bis Sicherheitspatch eingespielt ist
Das Amt machte deutlich, wie ernst die Lage ist, falls nicht umgehend Sicherheitsupdates installiert werden können: „Alternativ kann eine vorübergehende Trennung des Webservers vom Internet bis zum Einspringen des Patches erwogen werden, um eine Kompromittierung zu verhindern, sollten Patches nicht kurzfristig installiert werden können.“
Dass das BSI Betreibern von Internetangeboten explizit rät, ihre Server im Zweifel komplett vom Netz zu nehmen, unterstrich die Dringlichkeit der Lage.
Gefährlicher Fehler ermöglicht vollständige Serverübernahme
Unter dem Namen „PHP2Shell“ warnen Sicherheitsexperten vor gleich zwei kritischen Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert wurden.
Das Gefahrenpotenzial dieser Lücken ist immens: Kriminelle Akteure können die Schwachstelle ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen (Remote Code Execution). In der Praxis ermöglicht dies Angreifern, die vollständige Kontrolle über eine Website zu übernehmen, sensible Datenbanken und Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.
Da detaillierte Informationen zur Schwachstelle unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche unter erheblichem Zeitdruck. Branchenexperten befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen werden, um ungeschützte Server im Internet im Sekundentakt aufzuspüren und zu kapern.
Seiten zahlreicher Kommunen in der Region sowie des Klinikums Nürnberg vorübergehend offline
Die Einschätzungen der Sicherheitsbehörden zeigen bereits erste drastische Auswirkungen im öffentlichen Leben. Mehrere Kommunen und Behörden sind der Empfehlung des BSI gefolgt und haben ihre Online-Angebote vorübergehend abgeschaltet, um Angreifern keine Angriffsfläche zu bieten. Entsprechend reagiert haben auch Universitäten und Krankenhäuser.
In der Metropolregion Nürnberg waren der Einschätzung gleich mehrere Kommunen und Kliniken gefolgt: Die Webseiten der Kliniken Neumarkt, Nürnberg und Forchheim wurden offline genommen, gleiches galt für die Seite der Technische Hochschule Nürnberg Georg Simon. Auch Caritas Nürnberg, die VGN, das BAMF und die Infra in Fürth sowie die Finanzämter in Fürth und in Forchheim schalteten ihre Seiten vorsichtshalber offline.
Die Seiten der Landratsämter Forchheim, Weißenburg-Gunzenhausen sowie Erlangen-Höchstadt, die Stadt Herzogenaurach, Roth, Hilpoltstein, Hersbruck und Ebermannstadt, das Polizeipräsidium Mittelfranken, die Bundespolizei sowie die Seiten des BRK Nürnberger Land, Fürth, Kreisverband Südfranken sowie Forchheim waren ebenfalls zeitweise nicht erreichbar.
Sieh dir diesen Beitrag auf Instagram an
Am Abend konnten einige Angebote wieder online gehen, darunter städtische Seiten wie die von Nürnberg, Hilpoltstein, Schwanstetten und Büchenbach. Auch das Klinikum Nürnberg war wieder online erreichbar, ebenso die Polizei.
Höchste Alarmbereitschaft für Seitenbetreiber
Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen, die technisch auf PHP aufsetzen, gilt derzeit höchste Dringlichkeit, die eine sofortige Reaktion erfordert. IT-Experten raten dringend dazu, sich unverzüglich mit den zuständigen Systemadministratoren, IT‑Dienstleistern oder dem Webhosting-Anbieter in Verbindung zu setzen.
Verfügbare Patches und Sicherheitsupdates für die PHP-Umgebung sowie für genutzte Content-Management-Systeme müssen ohne jeden Verzug eingespielt werden. Ältere PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, stellen ein unkalkulierbares Risiko dar und sollten isoliert oder umgehend aktualisiert werden.
Sicherheitspatch zum Schließen der Lücke seit dem Abend abrufbar
Wie tagesschau.de meldete, haben die Entwickler des PHP-Projektes am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache unter php.net veröffentlicht, in denen die Sicherheitslücken geschlossen wurden.
Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC zwar kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund. Dennoch können Verbraucher indirekt betroffen sein - etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten.
