Am 21. Oktober 2026 waren weltweit mehrere Webseiten zeitweise offline. Auch in Baden-Württemberg blieben die Internetauftritte von Ministerien und Regierungspräsidien mehrere Stunden lang unerreichbar. Universitätskliniken und Universitäten, darunter Einrichtungen im Umfeld des KIT in Karlsruhe, schalteten ihre Seiten vorsorglich ab. Für viele Nutzer sah das schlicht nach einer kaputten Webseite aus. Dahinter steckte jedoch eine weltweite IT-Sicherheitslücke.

Im Zentrum steht „PHP2Shell“, eine neu entdeckte Schwachstelle in der Programmiersprache PHP. PHP wird sehr häufig für Webseiten eingesetzt – auch am KIT, im E-Commerce und bei zahlreichen digitalen Plattformen. Betroffen sein können Blogs und Nachrichtenportale, Onlineshops, WordPress-Webseiten sowie Systeme wie Moodle, Joomla!, Typo3 und Drupal. Nach Schätzungen laufen weltweit 400 bis 500 Millionen Webseiten mit WordPress.

Server plötzlich in der Hand von Angreifern

„PHP2Shell“ umfasst zwei kritische Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Angreifer können sie ohne vorherige Anmeldung aus der Ferne ausnutzen und eigenen Schadcode auf betroffenen Servern ausführen. Damit wäre es möglich, vollständige Kontrolle über Webseiten zu übernehmen, Datenbanken und Kundendaten auszulesen oder die Infrastruktur für weitere Cyberangriffe zu missbrauchen.

Bei einem übernommenen Server kommunizieren Nutzer dann womöglich nicht mehr mit dem erwarteten Onlineshop, sondern direkt mit dem Angreifer. Schadcode könnte verbreitet, eine Webseite manipuliert oder Kunden könnten beim Einkauf betrogen werden. Für Laien ist in der Regel nicht erkennbar, ob eine Seite kompromittiert wurde. Ein grünes Schloss im Browser hilft gegen einen manipulierten Server jedenfalls nicht.

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, warnte gemeinsam mit dem PHP-Sicherheitsteam und dem IT-Sicherheitsunternehmen Huntress. In seiner Warnung mit dem Aktenzeichen BITS-H Nr. 2026-297981-1032 stufte das BSI die Lage auf der Warnstufe „3 / Orange“ ein. Das bedeutet: Unverzügliche Gegenmaßnahmen sind erforderlich, eine erhebliche Beeinträchtigung des Regelbetriebs droht und das Bedrohungspotenzial gilt als besonders hoch.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Updates waren da – aber die Zeit knapp

Detaillierte Informationen zu den Schwachstellen gelangten unbeabsichtigt vorzeitig an die Öffentlichkeit. Sicherheitsexperten rechneten deshalb kurzfristig mit automatisierten Angriffen auf ungeschützte Server. Heise Security warnte, funktionsfähige Exploits könnten innerhalb weniger Stunden oder spätestens innerhalb eines Tages verfügbar sein. Weil das Zeitfenster für die Installation der Sicherheitsupdates zunächst als zu kurz eingeschätzt wurde, nahmen viele Betreiber ihre Webseiten sofort vom Netz.

Das PHP-Projekt veröffentlichte am Mittwochnachmittag aktualisierte Versionen, die die Lücken schließen. Inzwischen waren Sicherheitsupdates verfügbar. Das BSI empfahl dennoch: Falls ein Update nicht kurzfristig installiert werden kann, soll der Webserver vorübergehend vom Internet getrennt werden. Nicht mehr unterstützte PHP-Versionen gelten als besonders riskant und sollen isoliert oder aktualisiert werden.

Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen sollen unverzüglich ihre Systemadministratoren, IT-Dienstleister oder Hosting-Anbieter kontaktieren. Verfügbare PHP-Sicherheitsupdates sowie Aktualisierungen für eingesetzte Content-Management-Systeme müssen sofort installiert werden. Mehrere Bundesländer, Kommunen und Behörden schalteten ihre Online-Angebote vorsorglich ab; auch Universitäten und Krankenhäuser reagierten so.

Der Karlsruher Informatiker und KIT-Professor Jörn Müller-Quade-Quade erklärte, Sicherheitslücken würden inzwischen sehr schnell ausgenutzt. Dabei könne auch Künstliche Intelligenz helfen. Der Vorfall verlief laut dem Experten offenbar vergleichsweise glimpflich, sollte aber als Warnzeichen verstanden werden: Hacker werden durch KI leistungsfähiger.

Was Nutzer jetzt beachten können

Für normale Internetnutzer besteht beim Surfen mit Smartphone oder PC kein unmittelbarer Handlungsbedarf. Die Schwachstelle liegt auf Servern, nicht auf den Endgeräten. Indirekte Folgen sind allerdings möglich – etwa Ausfälle wichtiger Onlinedienste oder Datenabflüsse bei Webseiten, die nicht rechtzeitig geschützt wurden. Das PHP-Projekt und Hosting-Anbieter arbeiten an der weltweiten Behebung der Schwachstellen.

Nutzer können selbst nicht beeinflussen, ob ein Onlineshop seine Sicherheitsupdates installiert hat. Größere Onlinehändler dürften besonders darauf achten, die Aktualisierungen schnell einzuspielen. Trotzdem rät Müller-Quade, bei Onlineshops noch eine Weile besonders vorsichtig und misstrauisch zu sein, weil möglicherweise noch nicht alle Betreiber ihre Systeme aktualisiert haben.

Das BSI empfiehlt grundsätzlich starke Passwörter, stets aktuelle Betriebssysteme und Software sowie Aufmerksamkeit und Misstrauen im Internet. Beim Einkauf lohnt sich also ein genauer Blick – nicht nur auf den Preis, sondern auch auf ungewöhnliche Weiterleitungen, verdächtige Zahlungsaufforderungen oder plötzlich anders aussehende Seiten. Ein kurzer Moment Skepsis kann da nicht schaden.

Am KIT in Karlsruhe bleibt damit eine Sicherheitsfrage präsent, die weit über den Campus hinausreicht: Wie schnell lassen sich weltweit genutzte Systeme absichern, wenn eine Lücke bekannt wird? Am 21. Oktober war die Antwort vielerorts erst einmal: Stecker ziehen, Seite abschalten, abwarten. Heute, am 23.10.2026, sind die Updates verfügbar – und auf den Servern beginnt die eigentliche Arbeit.