Kritische Schwachstelle in PHP führt zu vorsorglichen Abschaltungen.
Eine schwerwiegende Sicherheitslücke in der weitverbreiteten Programmiersprache PHP hat weltweit für Aufsehen gesorgt. Zahlreiche Webseiten, darunter auch Angebote von Behörden, Universitäten und Kliniken, wurden vorsorglich vom Netz genommen, wie die Tagesschau berichtet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte die Bedrohung als außerordentlich hoch ein und riet zu sofortigen Sicherheitsupdates. Die Schwachstellen, unter den Kennungen CVE-2026-109618 und CVE-2026-109619 registriert, ermöglichen es Angreifern, Schadcode auf Servern auszuführen und so die Kontrolle über Webseiten zu übernehmen. Betroffen sind unter anderem Systeme wie WordPress, Joomla! oder Typo3, die auf PHP basieren und weltweit Millionen von Webseiten betreiben.
BSI warnt vor Server-Übernahme durch Lücke
Laut dem Tagesspiegel wurden die Sicherheitslücken am Mittwochnachmittag durch Updates der PHP-Entwickler geschlossen. Dennoch warnte das BSI, dass erfolgreiche Angriffe derzeit nicht ausgeschlossen werden können. IT-Experten wie Jörn Müller-Quade vom Karlsruher Institut für Technologie (KIT) betonten, dass die Schwachstelle besonders kritisch sei, da sie Angreifern erlaube, Server komplett zu übernehmen und beliebigen Schadcode auszuführen. Müller-Quade verwies darauf, dass das Zeitfenster zwischen Bekanntwerden der Lücke und möglichen Angriffen durch den Einsatz von KI immer kürzer werde, wie der SWR berichtet.
Städte bleiben offline trotz Sicherheitsupdates
Während viele Webseiten nach den Updates wieder online gingen, blieben einige Angebote, etwa von Städten in Baden-Württemberg, weiterhin abgeschaltet. Das BSI betonte, dass Entwarnung erst gegeben werden könne, wenn die breite Masse der Webhoster und Systemadministratoren die Sicherheitsupdates eingespielt habe. Systeme mit veralteten PHP-Versionen, für die keine Updates mehr verfügbar sind, müssten isoliert oder abgeschaltet werden, um dauerhafte Einfallstore für Cyberkriminelle zu verhindern.
Nutzer indirekt durch Dienstausfälle betroffen
Für normale Internetnutzer besteht beim Surfen kein direkter Handlungsbedarf, da die Sicherheitslücke auf den Servern und nicht auf den Endgeräten liegt. Dennoch können Nutzer indirekt betroffen sein, etwa durch Ausfälle von Onlinediensten oder potenzielle Datenabflüsse auf nicht geschützten Webseiten. IT-Sicherheitsexperten wie Christoph Fischer forderten, dass ungeschützte PHP-Anwendungen sofort abgeschaltet werden müssen, da sie sonst eine offene Tür für Kriminelle darstellen, wie die Deutsche Presse-Agentur berichtet.
PHP-Group empfiehlt Update auf Version 8.2
Die PHP-Group betonte, dass nur ein Update eine vollumfängliche Lösung darstelle, zusätzliche Maßnahmen könnten jedoch die Anfälligkeit gegenüber bestimmten Angriffswegen vermindern. Webseiten-Betreiber sollten sicherstellen, dass die neue Version auf allen Servern läuft, die Webanfragen beantworten. Langfristig sei ein Umstieg auf PHP 8.2 oder neuer sinnvoll.
