PHP-Sicherheitslücke: Staatssekretär warnt vor Gefahr für jeden
Veröffentlicht am: 23.10.2026 um 09:08 Uhr | dpa, AD HOC NEWSServer bleiben unter Beobachtung
- Markus Richter äußerte sich im ARD-Morgenmagazin zur kritischen PHP-Sicherheitslücke.
- Die Schwachstellen wurden am vergangenen Dienstag entdeckt und lösten weltweit hektische Reaktionen aus.
- Das veröffentlichte PHP-Update ist noch nicht auf allen betroffenen Systemen installiert.
PHP-Lücke erreicht vernetzte Systeme weltweit
Die kritische Sicherheitslücke in der weit verbreiteten Programmiersprache PHP kann nach Einschätzung von Staatssekretär Markus Richter grundsätzlich jeden Einzelnen betreffen. Im Digitalministerium laufen Untersuchungen, ob und wo Daten abgeflossen sein könnten.
Schadcode aus der Ferne möglich
Richter sagte im ARD-„Morgenmagazin“, die weltweite Vernetzung von Systemen mache die Schwachstelle auch für Einzelne relevant. Das Ministerium stufe den Vorfall als kritisch ein, weil PHP weit verbreitet sei.
Die Schwachstellen waren am vergangenen Dienstag entdeckt worden und lösten bei Webseitenbetreibern weltweit hektische Aktivitäten aus. Kriminelle können den Fehler aus der Ferne ausnutzen, um eigenen Schadcode auf Servern auszuführen.
Update noch nicht überall installiert
Bei einer erfolgreichen Attacke droht die vollständige Übernahme betroffener Systeme. Weil Details der Lücke vorab unbeabsichtigt öffentlich geworden waren, stuften Behörden und IT-Sicherheitsexperten die Lage als außerordentlichen Notfall ein.
Inzwischen liegt ein Update für die PHP-Software vor. Es wurde jedoch noch nicht überall eingespielt, sodass Betreiber betroffener Systeme weiterhin unter Zeitdruck stehen.
Richter warnt vor doppelter KI-Wirkung
Künstliche Intelligenz könne bei der Bewältigung solcher Vorfälle ein großes Hilfsmittel sein, sagte Richter. Zugleich könne sie Hackern helfen.
Deutschland sei gut aufgestellt, um Risiken durch KI zu begegnen. Gleichzeitig brauche es internationale Strukturen, weil Deutschland nicht auf einer Insel sitze.
Die PHP-Lücke betrifft eine zentrale Schicht der digitalen Infrastruktur. PHP wird für zahlreiche Webseiten, Onlineshops, Nachrichtenangebote und Content-Management-Systeme eingesetzt. Dadurch reicht die mögliche Wirkung eines Angriffs von einzelnen nicht erreichbaren Angeboten bis zum Zugriff auf Server, Datenbanken und gespeicherte Kundendaten.
Besonders gefährlich ist, dass Angreifer den Schadcode aus der Ferne und ohne vorherige Anmeldung ausführen können. Die Entwickler haben zwar aktualisierte Versionen veröffentlicht, doch der Schutz hängt davon ab, dass Betreiber und Hosting-Anbieter die Korrekturen tatsächlich einspielen. Nicht mehr unterstützte PHP-Versionen müssen ersetzt, isoliert oder abgeschaltet werden.
Folgen für Betreiber und Nutzer
Für private Nutzer liegt das unmittelbare Problem nicht auf Smartphone oder Computer, sondern auf den Servern besuchter Angebote. Indirekte Folgen sind Ausfälle von Webseiten, Onlineshops oder Bürgerportalen sowie mögliche Datenabflüsse, falls ein Server vor der Aktualisierung kompromittiert wurde.
Der Vorfall zeigt zugleich die internationale Abhängigkeit digitaler Dienste. Deutschland kann Schutzmaßnahmen koordinieren und Betreiber warnen, aber die eingesetzte Software, Hosting-Infrastruktur und Angriffsaktivität überschreiten nationale Grenzen. Künstliche Intelligenz kann bei der Erkennung und Abwehr helfen, erleichtert jedoch auch die Automatisierung von Angriffen. Entwarnung setzt deshalb voraus, dass die Sicherheitsupdates flächendeckend installiert und betroffene Systeme kontrolliert werden.
