Eine neu entdeckte, hochkritische Sicherheitslücke in der weit verbreiteten Programmiersprache PHP bedroht Millionen von Webseiten weltweit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine offizielle Cybersicherheitswarnung der Warnstufe 3 / Orange herausgegeben und stuft das Risiko als außerordentlich hoch ein. Betroffen sind Blogs, Onlineshops, Nachrichtenportale und Content-Management-Systeme wie WordPress, die auf PHP basieren.
Die Schwachstellen sind unter den Kennungen CVE-2026-109618 und CVE-2026-109619 registriert und werden von Sicherheitsexperten unter dem Namen «PHP2Shell» geführt. Sie ermöglichen eine Remote Code Execution, also das Ausführen von Schadcode aus der Ferne ohne vorherige Anmeldung. Angreifer könnten dadurch die vollständige Kontrolle über eine Website übernehmen, sensible Datenbanken und Kundendaten abgreifen oder die Infrastruktur für weitere Cyberattacken missbrauchen. Da detaillierte Informationen unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die IT-Branche unter erheblichem Zeitdruck. Experten befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen könnten, um ungeschützte Server im Sekundentakt aufzuspüren.
Die Warnung des BSI zeigt rasch Auswirkungen im öffentlichen Leben. Mehrere Bundesländer, Kommunen, Behörden, Universitäten und Krankenhäuser sind der Empfehlung gefolgt und haben ihre Online-Angebote vorsorglich vom Netz genommen, bis die erforderlichen Sicherheitsupdates installiert sind. Baden-Württembergs Innenminister Manuel Hagel (CDU) sagte, der Vorfall zeige erneut, dass sich die Cybersicherheitslage weiter verschärfe: «Wir müssen deshalb jederzeit in der Lage sein, exponierte Systeme bei akuten Gefährdungen kurzfristig vom Netz zu nehmen, um Schaden abzuwenden.»
Für normale Internetnutzer besteht beim alltäglichen Surfen auf Smartphone oder PC kein direkter Handlungsbedarf, da sich die Lücke nicht auf den Endgeräten befindet, sondern auf den Servern im Hintergrund. Indirekt können Verbraucher jedoch betroffen sein, etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten.
Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen gilt höchste Dringlichkeit. IT-Experten raten, sich unverzüglich mit Systemadministratoren, IT-Dienstleistern oder Webhosting-Anbietern in Verbindung zu setzen und verfügbare Patches ohne Verzug einzuspielen. Ältere PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, stellen ein unkalkulierbares Risiko dar und sollten isoliert oder umgehend aktualisiert werden. Das BSI wies explizit darauf hin, dass von den Schwachstellen ein herausragendes Bedrohungspotenzial ausgeht, und empfahl als Alternative zur sofortigen Patch-Installation eine vorübergehende Trennung des Webservers vom Internet, um eine Kompromittierung zu verhindern.
Die Entwickler des PHP-Projektes haben am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache veröffentlicht, in denen die Sicherheitslücken geschlossen wurden. Der Expertendienst Heise Security warnte Website-Betreiber jedoch, dass funktionierende Exploits in Stunden-, spätestens Tagesfrist erscheinen dürften. Wer das Risiko einer Kompromittierung nicht eingehen wolle, habe nur eine Option, nämlich die mit PHP betriebenen Webserver vom Netz zu trennen, solange das Update nicht installiert wurde. Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam hatte auch das BSI Alarm geschlagen. Die Entwickler der Programmiersprache sowie Hosting-Anbieter weltweit arbeiten daran, die Lücken zu schließen.
4
