PHP-Sicherheitslücke: BSI warnt vor Angriffen auf Webseiten

PHP2Shell setzt Webseiten weltweit unter Druck

Eine neu entdeckte, schwerwiegende Sicherheitslücke in der Programmiersprache PHP bedroht weltweit Blogs, Onlineshops, Nachrichtenportale und andere Webangebote. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte, mehrere Länder, Kommunen, Behörden, Universitäten und Krankenhäuser hätten ihre Webseiten vorsorglich vom Netz genommen.

Server statt Endgeräte betroffen

Für normale Internetnutzer besteht beim alltäglichen Surfen auf Smartphone oder PC kein direkter Handlungsbedarf, weil die Schwachstelle auf den Servern liegt. Indirekte Folgen sind dennoch möglich, etwa Ausfälle wichtiger Onlinedienste oder Datenabflüsse bei nicht rechtzeitig geschützten Angeboten.

Unter dem Namen PHP2Shell geht es um zwei kritische Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Angreifer können demnach ohne vorherige Anmeldung aus der Ferne eigenen Schadcode auf betroffenen Servern ausführen und dadurch Websites übernehmen, Datenbanken und Kundendaten abgreifen oder die Infrastruktur für weitere Attacken missbrauchen.

BSI warnt vor unmittelbarer Angriffsgefahr

Das BSI stufte das Risiko in seiner veröffentlichten Warnung mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Die Behörde erklärte, es bestehe ein herausragendes Bedrohungspotenzial und bei ausbleibenden Gegenmaßnahmen drohe eine starke Beeinträchtigung des Regelbetriebs.

Das BSI empfahl, Webserver vorübergehend vom Internet zu trennen, wenn Sicherheitsupdates nicht kurzfristig installiert werden können. Baden-Württembergs Innenminister Manuel Hagel (CDU) sagte, exponierte Systeme müssten bei akuten Gefährdungen kurzfristig vom Netz genommen werden können.

PHP-Projekt veröffentlicht Sicherheitsupdates

Die Entwickler des PHP-Projekts veröffentlichten am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache, in denen die Sicherheitslücken geschlossen wurden. Hosting-Anbieter und Betreiber sollen die verfügbaren Patches für PHP sowie für eingesetzte Content-Management-Systeme unverzüglich installieren.

Nach Angaben des Expertendienstes Heise Security könnten funktionierende Exploits binnen Stunden oder spätestens innerhalb eines Tages auftauchen. Betreiber älterer, nicht mehr unterstützter PHP-Versionen sollen ihre Systeme isolieren oder umgehend aktualisieren.

Öffentliche Angebote bleiben vorsorglich offline

Mehrere Bundesländer, Kommunen und Behörden schalteten ihre Online-Angebote vorübergehend ab. Auch Universitäten und Krankenhäuser reagierten auf die Warnungen, um möglichen Angriffen keine offene Angriffsfläche zu bieten.

Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen gilt damit unmittelbarer Handlungsdruck. Sie müssen ihre PHP-Umgebung prüfen, Sicherheitsupdates einspielen und bei einer vorübergehenden Abschaltung zugleich alternative Kontaktwege für Nutzer sicherstellen.

PHP gehört zu den zentralen Technologien des Internets und wird von vielen Content-Management-Systemen, Onlineshops und individuellen Webanwendungen genutzt. Eine Schwachstelle in der Laufzeitumgebung kann deshalb zahlreiche voneinander unabhängige Angebote gleichzeitig betreffen.

Besonders kritisch ist bei PHP2Shell die Möglichkeit, Schadcode aus der Ferne ohne vorherige Anmeldung auszuführen. Gelingt ein Angriff, reicht die mögliche Wirkung von einer manipulierten Website über den Zugriff auf Datenbanken bis zur Nutzung eines kompromittierten Servers für weitere Attacken.

Patchen oder vorübergehend abschalten

Die aktuelle Reaktion folgt dem üblichen Muster bei öffentlich bekannt gewordenen, hochkritischen Serverlücken: Betreiber müssen zunächst feststellen, ob PHP eingesetzt wird und welche Versionen sowie angeschlossenen Systeme betroffen sind. Danach sollten die bereitgestellten Korrekturen eingespielt, Zugänge kontrolliert und Protokolle auf verdächtige Aktivitäten geprüft werden.

Für private Nutzer liegt der wichtigste Unterschied zwischen direkter und indirekter Gefahr. Das Smartphone oder der PC wird durch die Lücke nicht automatisch verwundbar; beeinträchtigt sein können jedoch Websites, digitale Behördenangebote, Bestellvorgänge oder Krankenhausdienste. Vorübergehende Ausfälle sind daher eine Schutzmaßnahme, keine Aussage über eine bereits erfolgte Kompromittierung.

Offene Flanke durch alte Versionen

Ein strukturelles Problem bleibt der Betrieb nicht mehr unterstützter PHP-Versionen. Wo Aktualisierungen nicht sofort möglich sind, kann die Trennung vom Internet die Angriffsfläche reduzieren, bis ein Patch installiert und die Funktionsfähigkeit kontrolliert wurde. Für Betreiber entscheidet damit vor allem die Geschwindigkeit zwischen Warnung, Bestandsaufnahme und Absicherung über das verbleibende Risiko.

Pressespiegel: Einigkeit, Unterschiede und offene Fragen

Deutschlandfunk: „BSI warnt vor kritischer Schwachstelle in Webanwendungen mit Programmiersprache PHP“ (21.10.2026)

Der Beitrag habe die weltweite Bedrohung von Webanwendungen und die vorsorgliche Abschaltung von Online-Angeboten hervorgehoben. Als Schwerpunkt nenne er die erwarteten überarbeiteten PHP-Versionen und den dringenden Aufruf zur Installation.

n-tv: „Zahlreiche Websites wegen PHP-Sicherheitslücke abgeschaltet“ (21.10.2026)

Der Artikel habe zusätzlich konkrete deutsche Beispiele wie Mainz und die Universität Mannheim beschrieben. Er stelle neben der technischen Gefahr auch die Auswirkungen auf Behörden, Kliniken und andere öffentliche Online-Angebote heraus.

Beide Beiträge stimmten in der Einschätzung einer akuten Bedrohung und in der Bedeutung schneller Updates überein. Unterschiede gebe es vor allem beim Schwerpunkt zwischen der behördlichen Warnung und den konkreten Abschaltungen; offen bleibe, wie viele Systeme tatsächlich angegriffen oder kompromittiert worden seien.