PHP-Sicherheitslücke: 2 kritische Schwachstellen gefährden weltweit Millionen Webseiten. Deutsche Behörden, Kommunen und Kliniken haben ihre Internetangebote vorsorglich abgeschaltet. Betroffen sind unter anderem Mainz und mehrere Behörden in Hessen, berichtet die Redaktion 4thebike.de.
Warum die PHP-Sicherheitslücke so gefährlich ist
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 erreichen jeweils 9,2 von 10 Punkten auf der Sicherheitsskala. Angreifer könnten unter bestimmten Bedingungen Schadcode ausführen und sensible Serverdaten auslesen.
Die Sicherheitsprobleme betreffen die weitverbreitete Programmiersprache PHP. Sie bildet die technische Grundlage zahlreicher Onlineshops, Nachrichtenportale und WordPress-Webseiten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte eindringlich vor möglichen Angriffen. Auch europäische Cybersicherheitsbehörden forderten unverzügliche Schutzmaßnahmen.
Welche Webseiten in Deutschland betroffen sind
Mehrere öffentliche Einrichtungen reagierten mit vorsorglichen Abschaltungen. Auch außerhalb Deutschlands wurden Internetangebote zeitweise deaktiviert.
Zu den gemeldeten Einschränkungen gehören:
- Mainz: Städtische Internetdienste wurden vorsorglich abgeschaltet.
- Hessen: Webseiten der Landesregierung und mehrerer Behörden waren zeitweise nicht erreichbar.
- Hannover: Beim Verkehrsunternehmen Üstra kam es zu Einschränkungen digitaler Dienste.
- Berlin: Auch die Charité nahm ihre Internetseite vorsorglich vom Netz.
Die Abschaltungen bedeuten nicht automatisch, dass Hacker bereits erfolgreich eingedrungen sind. Viele Betreiber wollten mögliche Angriffe verhindern.
PHP veröffentlicht Sicherheitsupdates am 21. Oktober
Die PHP Foundation bestätigte am Mittwoch die Veröffentlichung von 4 korrigierten Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Die Entwickler empfehlen eine sofortige Aktualisierung. Ältere PHP-Versionen benötigen ebenfalls eine sichere, unterstützte Alternative.
Bereits am Dienstag waren Informationen über die Schwachstellen vorzeitig bekannt geworden. Dadurch gerieten Betreiber weltweit unter erheblichen Zeitdruck.
Was Webseitenbetreiber jetzt tun müssen
Die europäische Cybersicherheitsbehörde CERT-EU empfiehlt, betroffene Systeme unverzüglich abzusichern.
Betreiber sollten insbesondere:
- Die installierte PHP-Version überprüfen.
- Verfügbare Sicherheitsupdates installieren.
- Serverprotokolle auf verdächtige Aktivitäten kontrollieren.
- Gefährdete Systeme notfalls vorübergehend vom Internet trennen.
Ein gewöhnliches WordPress-Update ersetzt dabei nicht automatisch das notwendige PHP-Update auf dem Server. Verantwortliche sollten deshalb auch ihren Hostinganbieter kontaktieren.
Zuvor schrieben wir über Gehweg bis 10 Jahre erlaubt: Diese Fahrradregeln gelten für Kinder und begleitende Eltern
