An der Universität Duisburg-Essen ist die digitale Tür am 22.10.2026 teilweise zu: Eine neu entdeckte, schwerwiegende Sicherheitslücke in PHP legt weltweit zahlreiche Websites und Onlinedienste lahm. PHP steckt unter anderem in Blogs, Nachrichtenportalen, Onlineshops und Content-Management-Systemen wie WordPress. Allein WordPress betreibt schätzungsweise 400 bis 500 Millionen Webseiten auf PHP-Basis.

Auch in Nordrhein-Westfalen waren am Mittwochnachmittag, 21. Oktober 2026, viele Internetangebote nicht erreichbar. Der Grund ist ernst: Angreifer könnten über die Lücke ganze Server übernehmen. Für normale Nutzerinnen und Nutzer besteht beim alltäglichen Surfen mit Smartphone oder PC zwar kein unmittelbarer Handlungsbedarf, weil die Schwachstellen auf Servern liegen. Ausfälle wichtiger Angebote oder Datenabflüsse sind aber möglich.

Städte, Kliniken und Hochschulen offline

Die Stadt Bochum trennte nach eigenen Angaben Webserver vom Netz, um Sicherheitslücken zu schließen. Das Serviceportal und die Online-Bauauskünfte waren vorübergehend nicht erreichbar; die allgemeine Internetseite der Stadt blieb online.

Auch das Landesamt für Zentrale Polizeiliche Dienste nahm mehrere Onlinedienste vom Netz. Online-Anzeigen konnten vorübergehend nicht aufgegeben werden, ebenso wenig waren Online-Anmeldungen von Versammlungen möglich. Der Polizeinotruf 110 war nicht betroffen. Anzeigen konnten weiterhin persönlich in jeder Polizeidienststelle erstattet werden.

Nach Angaben mit Stand 17:45 Uhr waren unter anderem folgende Internetauftritte nicht erreichbar:

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren
  • Düsseldorf: Stadt Düsseldorf, Universitätsklinikum Düsseldorf, Heinrich-Heine-Universität Düsseldorf und Stadt Meerbusch
  • Mönchengladbach: Kliniken Maria Hilf
  • Kreis Wesel: Evangelisches Krankenhaus Wesel, St.-Bernhard-Hospital Kamp-Lintfort, Sankt-Josef-Hospital Xanten und ENNI
  • Duisburg: Stadt Duisburg, Universität Duisburg-Essen, Zoo Duisburg, Duisburger Versorgungs- und Verkehrsgesellschaft, Duisburger Stadtwerke und Sana Kliniken Duisburg
  • Kreis Mettmann: Kreis Mettmann und Stadt Wülfrath

„PHP2Shell“: Schadcode ohne Anmeldung

Sicherheitsexperten warnen vor zwei kritischen Schwachstellen in der PHP-Software. Sie tragen die offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 und werden unter dem Namen „PHP2Shell“ geführt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte dazu eine Cybersicherheitswarnung unter dem Aktenzeichen BITS-H Nr. 2026-297981-1032.

Das BSI stufte das Risiko mit „3 / Orange“ als außerordentlich hoch ein und warnte vor einem herausragenden Bedrohungspotenzial. Angreifer könnten ohne Anmeldung aus der Ferne eigenen Schadcode auf betroffenen Servern ausführen – Remote Code Execution. Damit wären die vollständige Kontrolle über Webseiten, der Zugriff auf Datenbanken und Kundendaten oder die Nutzung eines Servers für weitere Cyberangriffe möglich.

Die PHP-Entwickler veröffentlichten am Mittwochnachmittag aktualisierte Versionen, in denen die Lücken geschlossen wurden. Betreiber sollen die Sicherheitsupdates unverzüglich installieren. Wer das nicht sofort schafft, sollte den PHP-basierten Webserver vom Internet trennen. Genau das empfiehlt auch das BSI im Zweifel: Server vollständig vom Netz nehmen und anschließend absichern. Nicht mehr unterstützte PHP-Versionen sollen isoliert oder umgehend aktualisiert werden, weil sie ein unkalkulierbares Risiko darstellen.

Heise Security warnte, funktionsfähige Schadprogramme könnten innerhalb von Stunden, spätestens innerhalb eines Tages, verfügbar sein. PHP-Entwickler und Hosting-Anbieter arbeiten an der Behebung der Schwachstellen. Mehrere Online-Dienste nahmen ihre Angebote vorsorglich vom Netz; betroffen waren unter anderem Webseiten von Universitäten, Stadtverwaltungen und Kliniken. Viele Betreiber kündigten schnelle Sicherheitsupdates an, darunter auch Wikipedia.

Eine Lücke in sehr vielen Fundamenten

PHP ist keine exotische Speziallösung, sondern dient als Grundlage vieler Internetangebote. Neben WordPress verwenden auch Moodle, Joomla! und Typo3 die Programmiersprache. Wenn an dieser Stelle etwas klemmt, merkt man es nicht nur auf einer einzelnen Seite, sondern gleich an vielen Ecken des Netzes.

Die verlinkte BSI-Datei selbst liefert dabei keinen lesbaren Nachrichtenartikel: Der gelieferte Text besteht aus binären und komprimierten PDF-Daten, ein überprüfbarer Inhalt ist darin nicht enthalten. Eine inhaltliche Zusammenfassung dieses Dokuments ist deshalb nicht möglich. Verlässlich einordnen lassen sich die Warnstufe, das Aktenzeichen und die beschriebenen Maßnahmen aus den vorliegenden Informationen.

Für Studierende an der Uni Duisburg-Essen heißt das heute vor allem: nicht gleich in Panik geraten, wenn ein Portal streikt. Die Ursache liegt sehr wahrscheinlich nicht am eigenen Laptop. Komischerweise fühlt sich ein nicht ladender Webauftritt trotzdem sofort an, als hätte man selbst etwas kaputtgemacht.