Wer am 21. Oktober 2026 eine Hochschulwebsite aufrufen wollte, sah vielerorts statt Stundenplan, Lernplattform oder Serviceportal nur eine Fehlermeldung. Nach einer Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) schalteten zahlreiche Hochschulen und Forschungseinrichtungen in Deutschland ihre Websites und Online-Dienste ganz oder teilweise ab.

Betroffen waren unter anderem die Universitäten Freiburg, Göttingen, Potsdam und Leipzig, das Karlsruher Institut für Technologie (KIT) sowie das Robert Koch-Institut (RKI). Auch Lernplattformen und zentrale Hochschuldienste waren vielerorts vorübergehend nicht erreichbar. Für Studierende bedeutete das: kein schneller Blick ins Campus-Portal, keine Materialien aus dem Lernsystem, erst einmal warten.

Höchste Vorsicht wegen PHP-Schwachstellen

Auslöser waren zwei kritische Schwachstellen in PHP, einer weit verbreiteten Programmiersprache für Internetanwendungen. Das BSI stufte die Gefahr mit der zweithöchsten Warnstufe 3 („Orange“) ein. Angreifer hätten die Sicherheitslücken aus der Ferne ausnutzen können, um Schadcode auf Webservern auszuführen.

Die PHP-Entwickler hatten Details und Patches für den 21. Oktober 2026 ab 16 Uhr deutscher Zeit, also 14:00 UTC, angekündigt. Betroffen sind die Schwachstellen CVE-2026-109618 und CVE-2026-109619. Beide wurden nach CVSS 4.0 mit 9,2 von 10 bewertet. Den Bewertungen zufolge wären weder eine Authentifizierung noch eine Nutzerinteraktion nötig gewesen, um die Schwachstellen auszunutzen.

In aktuellen Berichten taucht dafür auch die Bezeichnung „PHP2Shell“ auf – in Anlehnung an die „Log4Shell“-Schwachstelle. Zum Zeitpunkt der Vorankündigung waren keine bestätigten Ausnutzungen bekannt, allerdings gab es unbestätigte Berichte über vorhandene Exploits. Das BSI empfahl, den angekündigten Patch unmittelbar nach seiner Veröffentlichung zu installieren.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Am Mittwochnachmittag wurden Sicherheitsupdates bereitgestellt. Die Entwickler veröffentlichten Patches für verschiedene PHP-Versionen und weitere Details zu den Lücken. Informationen dazu finden sich unter anderem in den GitHub-Advisories zu den beiden CVEs sowie in Blogartikeln von Wiz.io und Calif.io. Wiz.io und Calif.io waren gemeinsam mit OpenAI an der Entdeckung der Schwachstellen beteiligt.

Abschaltungen auch außerhalb der Hochschulen

Vorsorglich nahmen nicht nur wissenschaftliche Einrichtungen Online-Angebote vom Netz. Auch Landesregierungen, Kommunen, Bundesbehörden, Krankenhäuser und Unternehmen reagierten, darunter das Bundesinnenministerium, das Bundeskriminalamt und die Charité. Laut Reuters kam es außerdem in Frankreich, Belgien, den Niederlanden, Finnland und Tschechien zu Abschaltungen.

Die Installation der Updates und die anschließende Überprüfung der Systeme können dauern. Die Universität Freiburg kündigte an, ihre Online-Angebote erst im Laufe des folgenden Vormittags schrittweise wieder freizugeben. Für den Hochschulalltag ist das ein zäher Zwischenzustand: Die Gefahr soll draußen bleiben, während drinnen erst einmal vieles stillsteht.

Erinnerung an Log4Shell und echte Angriffe

Ein vergleichbarer branchenübergreifender Sicherheitsalarm hatte sich im Dezember 2021 ereignet. Damals legte die „Log4Shell“-Schwachstelle in einer verbreiteten Java-Bibliothek zahlreiche IT-Verantwortliche lahm; das BSI rief die höchste Warnstufe 4 („Rot“) aus. Auch Hochschulen schalteten vorsorglich IT-Dienste ab.

Die aktuellen Ereignisse erinnerten viele im Wissenschaftsbereich zugleich an jüngste Cyberangriffe, bei denen es nicht bei Vorsicht blieb. An der LMU München erlangten Angreifer im September Zugriff auf Daten aus dem Zulassungssystem. Betroffen waren persönliche Angaben und teilweise Bankdaten aktueller und ehemaliger Studierender.

Anfang Oktober wurde beim Hochschulservicezentrum Baden-Württemberg (HSZ-BW) ein Cyberangriff entdeckt. Seitdem sind unter anderem Campus-Management-Systeme sowie Anwendungen für die Personal- und Finanzverwaltung außer Betrieb.

Der entscheidende Unterschied zum jüngsten PHP-Vorfall: Bei der LMU und beim HSZ-BW waren Angreifer tatsächlich in IT-Systeme eingedrungen. Die jüngsten Abschaltungen erfolgten dagegen vorsorglich – damit es gar nicht erst so weit kommt.