Auf Deutschlands Webseiten könnte in den nächsten Tagen mancher Dienst nicht erreichbar sein: Wegen zwei kritischer Lücken in der Programmiersprache PHP haben Behörden und Firmen Seiten vorsorglich abgeschaltet. In Bremen waren am Mittwoch die Stadtseite bremen.de und die Homepage der Polizei offline. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Lage mit „Kritikalität 3 von 4“ (orange) ein. Stand: 21. Oktober, Nachmittag.
Die Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619, in der Szene heißen sie „PHP2Shell“. Beide sind nach dem Bewertungssystem CVSS 4.0 mit 9,2 von 10 Punkten bewertet. Nach bisherigen Angaben können Angreifer aus der Ferne und ohne Anmeldung eigenen Code auf einem Server ausführen. Damit ließen sich Seiten übernehmen, Kundendaten abgreifen oder Server für weitere Angriffe nutzen. PHP steckt hinter einem großen Teil des Netzes – auch hinter WordPress und vielen Shops.
Warum Behörden jetzt abschalten
Das PHP-Team hatte die Korrekturen für den 21. Oktober um 16 Uhr angekündigt. Technische Details sollten erst mit dem Patch erscheinen – doch schon vorher kursierten laut Medienberichten unbestätigte Exploit-Versuche im Netz. Die EU-Cybersicherheitsstelle CERT-EU empfiehlt in ihrer Warnung 2026-018, Anwendungen notfalls vom Netz zu nehmen, wenn sich nicht sofort patchen lässt. Auch das BSI nennt keine zuverlässigen Zwischenlösungen; es geht von einer Gefahr aus, die sich nicht ausschließen lässt.
BSI-Vizepräsident Thomas Caspers sagte laut buten un binnen, Angreifer könnten die Lücke „mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren“. Genau das erklärt die Eile: Zwischen Veröffentlichung eines Patches und den ersten Massenangriffen liegen heute oft nur Stunden. Der Cloud-Dienstleister Cloudflare meldet nach Angaben von cms-admins.de bereits Angriffe auf Kundenseiten und hat seine Filterregeln angepasst. Das PHP-Projekt selbst bestätigt bislang keine Angriffe.
Welche Versionen gelten, was Betreiber tun müssen
Korrigierte Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keine offiziellen Updates; wer solche Versionen betreibt, braucht Backports seiner Linux-Distribution oder muss umsteigen. Das BSI hält auch sehr alte Versionen bis zurück zu PHP 5 für betroffen. Ein WordPress- oder Plugin-Update ersetzt das PHP-Update nicht, denn PHP läuft als eigene Software auf dem Server. Wer eine Seite bei einem Hoster betreibt, sollte heute nachfragen, ob das Update eingespielt ist, und sich das schriftlich bestätigen lassen.
Für Nutzer ist das Bild unspektakulärer, aber nicht harmlos. Wenn ein Portal einer Stadt, einer Behörde oder eines Dienstleisters nicht lädt, ist das in den kommenden Tagen wahrscheinlich Vorsicht und kein Zeichen eines Hacks. Termine, Anträge und Fristen sollten Sie nicht auf den letzten Drücker legen; bei Fristsachen lohnt ein Anruf oder eine E-Mail an die Stelle. Und: Nach Wellen wie dieser tauchen oft gefälschte Seiten und Mails auf, die „Wartungsarbeiten“ oder „Bestätigung Ihrer Daten“ vorgeben. Persönliche Daten gehören nur auf die bekannte Adresse der Behörde, die Sie selbst eingeben.
Unsere Einschätzung, mit Vorbehalt: Die meisten abgeschalteten Seiten dürften binnen Tagen zurückkehren, sobald die Betreiber gepatcht haben. Kritischer wird die Zeit danach. Kleine Seiten ohne Wartung, alte Server und Geräte mit eingebautem PHP bleiben oft wochenlang ungepatcht – und genau dort setzen Angreifer erfahrungsgemäß an. Wie viele Seiten tatsächlich kompromittiert werden, lässt sich heute noch nicht sagen.
Quellen: Handelsblatt, buten un binnen, netzwelt, drohnen.de (BSI-Hinweis), PHP.net
