Heute, am 22.10.2026, sind an der Universität Bonn die Folgen einer weltweiten Sicherheitslücke in PHP weiterhin spürbar. Zahlreiche Webseiten und Onlinedienste in Deutschland waren oder sind nur eingeschränkt erreichbar. Betroffen waren unter anderem das Hauptstadtportal berlin.de, mehrere Universitäten, einige Krankenhäuser in der Region sowie die Stadt Bonn, die Universität Bonn und die Uniklinik Bonn.

Auch viele Behörden gingen vorsichtshalber offline. In mehreren Bundesländern wurden Webseiten vorübergehend abgeschaltet. Am Mittwochmorgen waren zahlreiche Angebote wieder online, darunter viele Webseiten in Rheinland-Pfalz und im Saarland. Seit Mittwochabend waren außerdem zahlreiche Seiten in Thüringen erreichbar, etwa die Staatskanzlei, die Landespolizei und das Innenministerium. Mehrere Online-Services der Polizei in Nordrhein-Westfalen liefen ebenfalls wieder. Einige bekannte Webseiten in Nordrhein-Westfalen blieben dagegen zunächst nicht erreichbar.

Webseiten kommen nur langsam zurück

Die Webseiten der S-Bahn Berlin waren nach einer Mitteilung in der Nacht wieder uneingeschränkt erreichbar. Im Kreis Ahrweiler nahm die Verwaltung vorsorglich ihre Webseite und einige Online-Dienstleistungen vom Netz. Diese Abschaltung soll bestehen bleiben, bis ein Sicherheitsupdate verfügbar und installiert ist. Andere Verwaltungsleistungen sind nicht betroffen, bestehende Termine sollen wie geplant stattfinden.

Telefonisch und per E-Mail bleibt die Verwaltung erreichbar. Informationen veröffentlicht der Kreis außerdem über seine Social-Media-Kanäle. Ähnlich handhabte es die Stadt Mainz: Mehrere städtische Internetdienste und das Portal mainz.de wurden deaktiviert. Ämter und Bürgerbüros blieben telefonisch und per E-Mail erreichbar, vereinbarte Termine fanden weiterhin statt. Betroffen war dort nur der externe Webauftritt, nicht die dahinterliegende kommunale Datenverarbeitung.

PHP steckt weltweit in einer enormen Zahl von Webseiten und Onlinediensten – in Blogs, Nachrichtenportalen, Onlineshops und Content-Management-Systemen. Dazu gehören WordPress, Moodle, Joomla!, Typo3 und Drupal. Über WordPress werden Schätzungen zufolge weltweit etwa 400 bis 500 Millionen Webseiten betrieben. Im Umfeld von Shops sind außerdem WooCommerce und Shopware betroffen sein könnten.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

„PHP2Shell“: Schadcode ohne Anmeldung

Unter dem Namen „PHP2Shell“ sind zwei kritische Schwachstellen bekannt: CVE-2026-109618 und CVE-2026-109619. Angreifer können dadurch ohne Anmeldung aus der Ferne Schadcode auf betroffenen Servern ausführen. Möglich wären eine vollständige Übernahme von Webseiten, der Zugriff auf Datenbanken und Kundendaten oder die Nutzung der Infrastruktur für weitere Cyberangriffe.

Das BSI, das IT-Sicherheitsunternehmen Huntress und das PHP-Sicherheitsteam warnten vor der Lücke. Das Bundesamt für Sicherheit in der Informationstechnik veröffentlichte eine offizielle Cybersicherheitswarnung und stufte die Lage mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Es sprach von einem herausragenden Bedrohungspotenzial, empfahl unverzügliche Gegenmaßnahmen und riet Betreibern im Zweifel sogar, Server vollständig vom Netz zu nehmen.

Die Schwachstelle soll laut Warnungen nahezu alle bekannten PHP-Versionen betreffen, rückwirkend mindestens bis PHP 5. Sicherheitsfachleute rechneten mit automatisierten Angriffen auf ungeschützte Server. Detaillierte Informationen waren unbeabsichtigt vorzeitig an die Öffentlichkeit gelangt. Heise Security warnte deshalb, funktionierende Exploits könnten innerhalb von Stunden oder spätestens binnen eines Tages veröffentlicht werden. Als einzige Möglichkeit, eine Kompromittierung sicher zu vermeiden, wurde die Trennung PHP-basierter Webserver vom Internet genannt.

Was Betreiber jetzt prüfen sollten

Die PHP-Entwickler kündigten für den 21. Oktober 2026 um 16 Uhr einen Sicherheitspatch an. PHP-Entwickler und Hosting-Anbieter arbeiteten an der Behebung der Schwachstellen. Betreiber von Webseiten, Onlineshops und digitalen Plattformen sollten unverzüglich ihre Systemadministratoren, IT-Dienstleister oder Hosting-Anbieter kontaktieren und verfügbare Sicherheitsupdates für PHP sowie die eingesetzten Content-Management-Systeme sofort installieren. Nicht mehr unterstützte PHP-Versionen sollten isoliert oder aktualisiert werden.

Das BSI erwartet laut den vorliegenden Warnungen eine großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Sicherheitsupdates. KI-gestützte Werkzeuge könnten Angreifern dabei helfen, Patches kurzfristig per Reverse Engineering zu analysieren und daraus Angriffsskripte zu erstellen – ein Wettlauf, bei dem niemand gern eine Runde zurückliegt.

IT-Verantwortliche und Unternehmensleitungen sollen IT-Personal oder externe Dienstleister für eine sofortige Patch-Einspielung bereitstellen, den Patch-Status anhand des offiziellen Sicherheitsberichts verifizieren und öffentlich erreichbare PHP-Webserver verstärkt überwachen. Ungewöhnliche Zugriffe, Lastspitzen und Auffälligkeiten in den Server-Logs gehören jetzt auf die Checkliste. Auch die Aktualität und Wiederherstellbarkeit von Backups aller Serversysteme sollte geprüft werden. Eine Kompromittierung kann Betriebsausfälle, Datenverlust und haftungsrechtliche Konsequenzen nach sich ziehen.

Für Nutzer kein Grund zur Panik – ganz folgenlos ist es nicht

Für normale Nutzer bestand beim alltäglichen Surfen zunächst kein unmittelbarer beziehungsweise direkter Handlungsbedarf: Die Lücke liegt auf Servern, nicht auf Smartphones oder PCs. Wer also am eigenen Gerät Nachrichten liest oder eine Webseite aufruft, muss nicht plötzlich hektisch Passwörter ändern. Indirekte Folgen sind aber möglich, etwa Ausfälle wichtiger Onlinedienste oder Datenabflüsse bei Webseiten, die nicht rechtzeitig geschützt wurden.

Kriminelle könnten die Schwachstellen ausnutzen, um Webauftritte zu übernehmen, Datenbanken auszulesen oder Server für weitere Angriffe zu missbrauchen. Während an der Universität Bonn und anderswo manche Seiten wieder erreichbar sind, bleiben deshalb einzelne Angebote vorsorglich abgeschaltet. Der Browser zeigt dann oft nur eine Fehlermeldung – unspektakulär, aber hinter den Kulissen arbeiten PHP-Entwickler, Hosting-Anbieter und IT-Teams unter Hochdruck.