Heute ist der 23. Oktober 2026. An der Universität Bremen ist die Aufregung über einen Vorfall noch nicht ganz verflogen, der weltweit Webseiten aus dem Takt gebracht hat. Seit Mittwoch gingen zahlreiche Internetauftritte vorübergehend offline: Behörden, Polizei, Hochschulen, Krankenhäuser, Stadtverwaltungen und Unternehmen schalteten ihre Seiten vorsorglich ab, um Sicherheitsupdates einzuspielen und Angreifern zuvorzukommen.

Auch zahlreiche Bremer Webseiten waren betroffen, viele sind inzwischen wieder erreichbar. In Bayern gingen am Mittwochnachmittag unter anderem die bayerische Polizei, die Staatsregierung, die Technische Universität München, die Universitäten Würzburg und Regensburg, die Landeshauptstadt München sowie das Universitätsklinikum Nürnberg vom Netz. Am Morgen des 22. Oktober waren einige Seiten wieder online, das bayerische Ministerium für Digitales war um 7:40 Uhr allerdings noch nicht erreichbar.

Kein Angriff, sondern eine Notabschaltung

Auslöser war kein Cyberangriff, sondern eine vorsorgliche Abschaltung wegen zweier kritischer Sicherheitslücken in PHP. Die Schwachstellen tragen den gemeinsamen Namen „php2shell“ beziehungsweise „PHP2Shell“ und sind unter den Kennungen CVE-2026-109618 und CVE-2026-109619 registriert. Sie stecken im Kern der Software und existieren vermutlich seit Jahrzehnten, wurden aber erst im August 2026 öffentlich bekannt.

PHP ist laut Bundesamt für Sicherheit in der Informationstechnik ein zentraler Baustein vieler Webanwendungen. Die Open-Source-Sprache steckt unter anderem in WordPress, Blogs, Onlineshops und großen Nachrichtenportalen. Rund 70 Prozent aller Webseiten nutzen die Technik – ein „unsichtbarer Motor des Internets“, wie es Dennis-Kenji Kipker, Professor für IT-Sicherheitsrecht an der Universität Bremen, beschreibt. Betreut wird PHP von der PHP Foundation.

Entdeckt wurden die Lücken nach Angaben aus den Quellen unabhängig voneinander von der Sicherheitsfirma Calif und OpenAI am selben Tag. Kipker berichtet, eine KI habe zwei schwerwiegende Sicherheitslücken gefunden. Wie genau die Fehler entdeckt wurden, ist bislang nicht bekannt; einiges deutet aber darauf hin, dass Künstliche Intelligenz bei der Suche eine Rolle spielte. Das PHP-Entwicklerteam arbeitete anschließend vertraulich an einem Sicherheitsupdate. Detaillierte Informationen wurden kurz vor der geplanten Veröffentlichung unbeabsichtigt öffentlich – plötzlich musste es weltweit sehr schnell gehen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Was Angreifer anrichten könnten

Bei einer erfolgreichen Ausnutzung könnten Angreifer aus der Ferne eigenen Schadcode auf betroffenen Servern ausführen und ein System möglicherweise vollständig übernehmen. Sie könnten Webseiten verändern, Texte, Bilder oder Töne austauschen und sie etwa für Propaganda missbrauchen. Auch der Zugriff auf Datenbanken wäre möglich: auf Kundendaten, Passwörter, Kontaktdaten, E-Mails oder andere Inhalte.

Im schlimmsten Fall werden Daten gestohlen, verschlüsselt und erst gegen Lösegeld wieder freigegeben. Gehackte Webseiten könnten außerdem als Ausgangspunkt für weitere Cyberangriffe dienen. Besucherinnen und Besucher könnten beim Aufruf einer manipulierten Seite Schadcode übernehmen, der anschließend andere Systeme gefährdet. Branchenexperten befürchten automatisierte Skripte, die ungeschützte Server innerhalb von Sekunden aufspüren.

Das Bundesamt für Sicherheit in der Informationstechnik warnte vor massiven Angriffskampagnen gegen IT-Systeme aus verschiedenen Bereichen und setzte die Warnstufe „3 / Orange“. Ob Kriminelle die Schwachstellen bereits für Angriffe genutzt haben, dürfte möglicherweise erst in einigen Wochen feststehen. Die automatisierte Angriffswelle hat laut dem ZDF-Bericht begonnen und kann noch Wochen oder Monate andauern.

Bei einem Datenleck können medizinische Informationen, Kreditkarten- und Zahlungsdaten, Kontozugangsdaten sowie Zugangsdaten zu sozialen Netzwerken und anderen Diensten in falsche Hände geraten. Oft merkt man davon zunächst nichts. Verdächtig sind unbestellte Einkäufe, unerwartete Rechnungen oder ein plötzlich gesperrtes Konto.

Was Betreiber und Nutzer jetzt wissen müssen

Die PHP-Entwickler stellten am Mittwoch Notfall-Updates bereit; die Patches standen seit dem 21. Oktober 2026, 16 Uhr, zur Verfügung. BSI-Vizepräsident Thomas Caspers forderte unverzügliches Handeln. Das BSI hatte empfohlen, IT-Personal für die Aktualisierung bereitzuhalten oder Webseiten vorsorglich offline zu nehmen. Betreiber von PHP-Seiten müssen die PHP-Version ihrer Serverumgebung prüfen und die Sicherheitsupdates einspielen. Veraltete Versionen ohne offizielle Updates sollen isoliert oder abgeschaltet werden.

Große Webhoster wie Ionos aktualisierten PHP-Versionen in ihren Systemen. Besonders geschützt sind Webseiten, bei denen automatische Sicherheitsupdates aktiviert sind. Große Portale und Webseiten haben die erforderlichen Aktualisierungen laut Kipker überwiegend installiert und sind weitgehend wieder sicher nutzbar. Bei kleineren Seiten, etwa unabhängigen Shopping-Portalen, ist der Stand teilweise unklar. Wer dort sensible Zahlungs- oder Kreditkartendaten eingeben will, sollte gegebenenfalls erst den Betreiber kontaktieren.

Für normale Internetnutzer gibt es auf Smartphone oder Computer nichts zu installieren. Die Sicherheitslücke sitzt auf den Servern, nicht auf den Endgeräten. Online-Banking-Anwendungen selbst sind laut dem Bericht nicht betroffen, weil sie auf anderen technischen Komponenten basieren. Bank-Webseiten können trotzdem vorübergehend offline sein, wenn sie PHP einsetzen; die eigentlichen Banking-Anwendungen sind technisch von den Webseiten getrennt. Der Deutsche Sparkassen- und Giroverband erklärte, bislang keine Auswirkungen auf die Banking-Anwendungen festzustellen.

Ein vorsorglicher Wechsel aller Passwörter ist nach Kipkers Einschätzung derzeit nicht zwingend nötig, weil noch nicht feststeht, welche Daten tatsächlich kompromittiert wurden. Unternehmen müssen Betroffene über Datenpannen informieren. Nutzer sollten danach Kontobewegungen und andere Aktivitäten ihrer Konten aufmerksam prüfen. Das Hasso-Plattner-Institut bietet mit einem „Data Breach Checker“ eine Möglichkeit, nachzusehen, ob eigene Zugangsdaten in bekannten Datenlecks auftauchen.

Ist ein Datenleck festgestellt, rät Kipker zu schnellen, klaren Schritten: alle betroffenen Passwörter und Zugangsdaten sofort ändern, den Betreiber kontaktieren, die Cyberstraftat bei der Onlinewache der Landespolizei anzeigen und den eigenen Rechner mit einem Antivirenscan auf Schadsoftware prüfen. Betreiber eigener Webseiten, Router und Netzwerkspeicher sollten automatische Updates aktivieren und regelmäßig kontrollieren, ob ihre Systeme aktuell sind.

Der Wettlauf mit der KI

Für Kipker steht der Vorfall am Beginn eines KI-gestützten Wettrennens zwischen Cyberangreifern und Cyberverteidigern. Software ist nicht vollständig fehlerfrei, zugleich vergrößern Digitalisierung und Vernetzung die Angriffsfläche. Ereignisse, die früher vielleicht alle fünf bis zehn Jahre auftraten, könnten künftig möglicherweise jedes Jahr vorkommen.

Künstliche Intelligenz kann Sicherheitslücken automatisiert und in großem Umfang finden. Aufgaben, für die früher viele Fachleute wochenlang gebraucht hätten, lassen sich laut Kipker teilweise innerhalb weniger Stunden erledigen. Autonome KI-Systeme könnten unsichere Webseiten mit veralteten PHP-Versionen identifizieren und anschließend gezielt Schadsoftware für Angriffe erzeugen. Auch die Suche nach ungeschützten PHP-Servern lässt sich automatisieren und großflächig durchführen.

Entwarnung ist deshalb erst zu erwarten, wenn die meisten Webhoster und Systemadministratoren ihre Systeme aktualisiert haben. Berichtet wurde unter anderem im „heute journal“ am 21.10.2026; die Quelle des Beitrags ist dpa. Und während an vielen Stellen längst wieder Startseiten, Bürgerdienste und Onlineshops erscheinen, bleibt bei manchen kleineren Portalen die unangenehme Frage offen, ob hinter der Fassade wirklich schon alles dicht ist.