# Gravierende PHP-Lücke bedroht Millionen Webseiten

Typ: Artikel
Veröffentlicht: 2026-10-21T20:16:35+02:00
Zuletzt aktualisiert: 2026-10-21T20:16:35+02:00
Kanonische URL: https://hasepost.de/gravierende-php-luecke-bedroht-millionen-webseiten-769074/
Kategorie: Deutschland & die Welt

---

Sicherheitslücke in PHP: Behörden und Unternehmen schalten Webseiten ab

Eine neu entdeckte, schwerwiegende Sicherheitslücke in der weitverbreiteten Programmiersprache PHP bringt weltweit das Fundament zahlreicher Webseiten ins Wanken. Betroffen sind Blogs, Onlineshops, Nachrichtenportale und Content-Management-Systeme wie WordPress, auf denen Schätzungen zufolge allein 400 bis 500 Millionen Webseiten basieren. Wie das IT-Sicherheitsunternehmen Huntress, das Computer Emergency Response Team des Bundes (CERT-Bund) und das offizielle PHP-Sicherheitsteam berichten, handelt es sich um eine akute Notfallsituation. Die Schwachstellen, unter den Nummern CVE-2026-109618 und CVE-2026-109619 registriert, ermöglichen es Angreifern, aus der Ferne Schadcode auf betroffenen Servern auszuführen und so die Kontrolle über Webseiten zu übernehmen oder sensible Daten abzugreifen.

## BSI warnt vor extrem gefährlicher IT-Lücke

Die Lücken wurden auf der CVSS-Skala mit 9,2 von 10 Punkten bewertet, was ein extrem hohes Gefahrenpotenzial bedeutet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Bedrohung mit der Warnstufe „3 / Orange“ ein und warnt vor einer massiven Beeinträchtigung des Regelbetriebs. Da detaillierte Informationen zur Schwachstelle unbeabsichtigt vorab öffentlich wurden, steht die IT-Branche unter Zeitdruck. Experten befürchten, dass Kriminelle bereits automatisierte Skripte einsetzen, um ungeschützte Server anzugreifen.

### Behörden schalten vorsorglich Online-Dienste ab

Als Reaktion haben bereits mehrere Kommunen, Behörden, Universitäten und Krankenhäuser ihre Online-Angebote vorsorglich abgeschaltet. So sind etwa die Webseiten der Stadt Dresden, der Berliner Charité, der Landeshauptstadt Mainz sowie des Verkehrsunternehmens Üstra in Hannover nicht erreichbar, wie die Tagesschau und der MDR berichten. Das BSI rät Betreibern dringend, die bereitgestellten Sicherheitsupdates unverzüglich einzuspielen oder, falls dies nicht möglich ist, die betroffenen Server vorübergehend vom Netz zu nehmen. Die PHP-Entwickler haben am Mittwochnachmittag aktualisierte Versionen veröffentlicht, die die Lücken schließen.

### Eine der schlimmsten Sicherheitskrisen der letzten Jahre

IT-Experten betonen, dass es sich um eine der gravierendsten Sicherheitslagen der letzten Jahre handelt. Für normale Internetnutzer besteht zwar kein direkter Handlungsbedarf, da die Lücke auf den Servern und nicht auf den Endgeräten liegt. Allerdings können Verbraucher indirekt betroffen sein, etwa durch Ausfälle von Onlinediensten oder potenzielle Datenabflüsse.

---
Quelle: HASEPOST – Die Zeitung für Osnabrück