Kritische Lücken in PHP gefährden Millionen Webseiten – Updates dringend nötig.
Eine schwerwiegende Sicherheitslücke in der weitverbreiteten Programmiersprache PHP sorgt weltweit für Alarmstimmung. Betroffen sind zahlreiche Webseiten, Onlineshops und digitale Dienste, die auf PHP basieren. Wie die Tagesschau berichtet, hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine offizielle Cybersicherheitswarnung herausgegeben und die Bedrohungsstufe „Orange“ ausgerufen. Dies bedeutet ein außerordentlich hohes Risiko, das unverzügliches Handeln erfordert. Die Lücken, unter den Kennungen CVE-2026-109618 und CVE-2026-109619 registriert, ermöglichen es Angreifern, aus der Ferne Schadcode auf betroffenen Servern auszuführen und so die Kontrolle über Webseiten zu übernehmen.
BSI warnt vor KI-gestützten Cyberangriffen
Das BSI warnt vor einem herausragenden Bedrohungspotenzial und rät zu sofortigen Sicherheitsupdates oder zur vorübergehenden Abschaltung betroffener Systeme, falls keine Patches verfügbar sind. BSI-Vizepräsident Thomas Caspers betonte gegenüber der Süddeutschen Zeitung, dass eine großflächige Ausnutzung der Lücken innerhalb weniger Stunden wahrscheinlich sei, da Angreifer KI-gestützte Werkzeuge nutzen könnten, um Exploits schnell zu entwickeln. Bisher gibt es laut BSI und Heise Security keine bestätigten Fälle, in denen die Schwachstellen bereits ausgenutzt wurden. Dennoch wurden vorsorglich Webseiten von Behörden, Universitäten und Kliniken offline genommen, um mögliche Angriffe abzuwehren.
PHP-Lücken bedrohen Millionen Webseiten
Viele Seiten sind inzwischen wieder erreichbar, nachdem die Updates eingespielt wurden. Die Programmiersprache PHP ist die Grundlage für einen Großteil des Internets, darunter Content-Management-Systeme wie WordPress, Joomla oder Typo3. Allein WordPress wird laut Schätzungen auf 400 bis 500 Millionen Webseiten genutzt. Die Entwickler von PHP haben bereits aktualisierte Versionen veröffentlicht, die die Sicherheitslücken schließen.
Automatisierte Angriffe auf das Internet nehmen zu
IT-Experten wie Matthew Prince von Cloudflare berichten von einer Welle automatisierter Angriffe auf das Internet, wie Sky News meldet. Für normale Internetnutzer besteht kein direkter Handlungsbedarf, da die Lücke auf den Servern und nicht auf den Endgeräten liegt. Indirekt können Verbraucher jedoch durch Ausfälle von Onlinediensten oder Datenabflüsse betroffen sein, falls Webseiten nicht rechtzeitig geschützt wurden. Die FAZ zitiert Digitalminister Karsten Wildberger, der betont, dass der Vorfall das Beginn eines neuen Zeitalters der Cybersicherheit markiere, in dem KI-basierte Tools sowohl zur Entdeckung als auch zur Ausnutzung von Schwachstellen eingesetzt werden.
