Am Mittwochnachmittag, dem 21. Oktober 2026, waren die Internetseiten mehrerer zentraler bayerischer Institutionen plötzlich nicht erreichbar. Betroffen waren unter anderem das Bayerische Rote Kreuz, die Bayerische Staatsregierung, die Bayerische Polizei und die Johanniter. Auf den Seiten der bayerischen Landesregierung stand: „Aus sicherheitstechnischen Gründen ist dieses Webangebot aktuell leider nicht verfügbar.“

Auch an der Universität Tübingen wurde die Lage aufmerksam verfolgt. Laut dpa stand der Ausfall vermutlich im Zusammenhang mit einer weltweit gravierenden Sicherheitslücke. Zuvor hatte bereits die Landesregierung Baden-Württembergs ihre Webseiten vorsorglich vom Netz genommen, um sie vor Hackerangriffen zu schützen. Einzelne kommunale Angebote waren ebenfalls betroffen, etwa die Homepage der Stadt Augsburg, die auf Wartungsarbeiten verwies.

PHP-Lücke legt Webangebote lahm

Im Kern geht es um zwei kritische Schwachstellen in der weitverbreiteten Programmiersprache PHP. Sie werden als CVE-2026-109618 und CVE-2026-109619 geführt und nach CVSS 4.0 jeweils mit 9,2 von 10 bewertet. Angreifer könnten die Lücken aus der Ferne, ohne Authentifizierung oder Nutzerinteraktion, ausnutzen und eigenen Schadcode auf Webservern mit PHP-Anwendungen ausführen.

Damit wären nicht nur einzelne Seiten gefährdet. Möglich wären die Übernahme von Webseiten, das Abgreifen von Kundendaten oder die Nutzung der Infrastruktur für weitere Cyberangriffe. Das IT-Sicherheitsunternehmen Huntress, das PHP-Sicherheitsteam und das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnten vor der Gefahr. Das BSI stufte das Risiko mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein und forderte unverzügliche Gegenmaßnahmen.

PHP steckt weltweit in zahlreichen Webseiten und Onlinediensten: in Blogs, Nachrichtenportalen, Onlineshops und Content-Management-Systemen wie WordPress. Experten schätzen, dass weltweit 400 bis 500 Millionen Webseiten mit WordPress betrieben werden. Kein Wunder also, dass Kommunen, Behörden, Universitäten und Krankenhäuser lieber einmal zu früh den Stecker zogen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Die Schwachstellen waren den PHP-Entwicklern zunächst vertraulich gemeldet worden, während an einer Lösung gearbeitet wurde. Details gelangten jedoch am Dienstag, einen Tag vor der geplanten Veröffentlichung des Updates, ins Internet. Dieser vorzeitige Leak setzte die globale IT-Branche unter Zeitdruck und führte zur vorsorglichen Abschaltung vieler Webseiten. In aktuellen Berichten werden die Lücken wegen ihrer Ähnlichkeit zu „Log4Shell“ auch als „PHP2Shell“ bezeichnet.

Von Tübingen bis Tokio

Die Abschaltungen beschränkten sich keineswegs auf Bayern. Weltweit nahmen Regierungsbehörden und Unternehmen ihre Internetseiten vorübergehend vom Netz, unter anderem in Deutschland, Frankreich, den Niederlanden und Dänemark. Auch Webseiten in Finnland und Japan waren abgeschaltet.

In Deutschland traf es in Mainz mehrere städtische Internetdienste und das zentrale Webportal, in Potsdam und Halberstadt die städtischen Internetseiten. Die Berliner Universitätsklinik Charité schaltete ihre offizielle Website ab. Beim Hannoveraner Verkehrsunternehmen Üstra waren neben der Website auch der Fahrkartenkauf und die Anzeige gekaufter Fahrkarten in der App betroffen.

In den Niederlanden waren unter anderem die Webseiten des Nationalen Zentrums für Cybersicherheit, des Hafens von Rotterdam und des nationalen Fußballverbands nicht erreichbar. Auch mehrere Hochschulen und Universitätsklinika reagierten vorsichtig: die Universität beziehungsweise Universitätsklinika Freiburg, Heidelberg und Mannheim, die Universität Tübingen sowie das Karlsruher Institut für Technologie nahmen ihre Webseiten zeitweise vom Netz.

Die Universitätsklinika Freiburg, Heidelberg und Mannheim betonten, dass es sich nicht um einen Cyberangriff, sondern um eine präventive Sicherheitsmaßnahme gehandelt habe. Der Betrieb und insbesondere die Patientenversorgung seien nicht betroffen gewesen. Für Studierende, Forschende und Beschäftigte blieb der Moment trotzdem unerquicklich: Wenn plötzlich zentrale Webangebote verschwinden, ist selbst eine kurze Suche nach einer Telefonnummer oder einem Formular unnötig mühsam.

Seiten wieder online, Anwendungen teils noch holprig

Gegen 17 Uhr waren unter anderem die Seiten der bayerischen Staatsregierung und der Polizei wieder erreichbar. Im Laufe des Abends gingen alle betroffenen Internetseiten wieder online, einige Webanwendungen funktionierten zunächst allerdings nur eingeschränkt.

Das Landratsamt Aichach-Friedberg meldete Ausfälle bei der Cloud zum Datenaustausch, beim Ratsinfo-System, beim Abfallportal, beim Bauportal und beim Formularserver. Ein Update für diese Anwendungen sollte im Laufe der Nacht eingespielt werden. Nach dem Einspielen von Sicherheitsupdates wurden die Seiten wieder freigeschaltet.

Das PHP-Projekt veröffentlichte am Mittwochnachmittag aktualisierte Versionen, in denen die Sicherheitslücken geschlossen wurden. Die PHP Foundation erklärte, PHP-Nutzer müssten jetzt zwingend ein Update durchführen. IT-Experten empfahlen, die Sicherheitsupdates unverzüglich zu installieren. Heise Security riet außerdem, PHP-betriebene Webserver bis zur Installation des Updates vom Netz zu trennen, wenn eine mögliche Kompromittierung vermieden werden soll.

Warnung mit engem Zeitfenster

Die PHP-Entwickler hatten für den 21. Oktober 2026 ab 16 Uhr deutscher Zeit, also 14:00 UTC, Details und Patches zu den beiden Schwachstellen angekündigt. Zum Zeitpunkt der Vorankündigung waren keine bestätigten Ausnutzungen bekannt. Es gab jedoch unbestätigte Berichte über bereits existierende Exploits. Betreiber sollten die angekündigten Patches unmittelbar nach ihrer Veröffentlichung installieren.

Mit dem Update vom 21. Oktober 2026 stellten die Entwickler Patches für mehrere PHP-Versionen bereit und veröffentlichten weitere technische Details. Informationen finden sich unter anderem in den GitHub-Advisories zu den beiden CVEs sowie in Blogartikeln von Wiz.io und Calif.io. Wiz.io und Calif.io waren gemeinsam mit OpenAI an der Entdeckung der Schwachstellen beteiligt.

Am heutigen 22. Oktober 2026 ist an der Universität Tübingen vieles wieder erreichbar. Ganz verschwunden ist das mulmige Gefühl aber nicht: Hinter einer scheinbar banalen Webseite hängen Formulare, Fahrkarten, Klinikangebote, Verwaltungsdaten und manchmal der halbe digitale Alltag. Und irgendwo wartet schon das nächste Update.