Heute, am 22. Oktober 2026, sind mehrere Bremer Websites vorsorglich offline gegangen. Betroffen waren unter anderem die Seiten der Bremer Feuerwehr, der Polizei, der Staatsanwaltschaft und senatorischer Behörden. Auch die Hochschule und Universität Bremen sowie mehrere private Krankenhäuser waren zeitweise nicht erreichbar. Der Grund: zwei schwerwiegende Sicherheitslücken in der Programmiersprache PHP.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte vor der kritischen Schwachstelle gewarnt. Weltweit könnten Webanwendungen betroffen sein – und damit auch die IT-Systeme, die dahinterliegen. PHP wird rund um den Globus zur Erstellung von Webanwendungen eingesetzt, weshalb die Warnung deutlich über Bremen hinausreicht.

Behörden wieder online, Hochschulseiten noch nicht

Die Websites der Bremer Behörden waren am Abend nach erfolgreichen Sicherheitsupdates wieder vollständig erreichbar. Anders sah es bei der Hochschule und Universität Bremen sowie bei mehreren privaten Krankenhäusern aus: Ihre Internetauftritte waren weiterhin nicht verfügbar.

Ob Angreifer die PHP-Schwachstelle bereits ausnutzen, lässt sich laut BSI nicht ausschließen. BSI-Vizepräsident Thomas Caspers erklärte, Angreifer könnten die Lücken mithilfe KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren. Das ist der Teil der Nachricht, bei dem man beim Warten auf eine Website unwillkürlich etwas länger auf den Ladebalken schaut.

„PHP2Shell“ mit hoher Risikobewertung

Die PHP-Entwickler hatten für den 21. Oktober 2026 um 16:00 Uhr deutscher Zeit, also 14:00 UTC, Details und Patches zu zwei Schwachstellen angekündigt. Es handelt sich um CVE-2026-109618 und CVE-2026-109619. Beide wurden nach CVSS 4.0 mit 9,2 von 10 bewertet.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Den Bewertungen zufolge könnten Angreifer aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen ausführen – ohne Authentifizierung und ohne Nutzerinteraktion. In aktuellen Berichten werden die Schwachstellen wegen ihrer vermuteten Tragweite auch „PHP2Shell“ genannt, in Anlehnung an „Log4Shell“.

Zum Zeitpunkt der Vorankündigung waren keine bestätigten Ausnutzungen bekannt. Es gab allerdings unbestätigte Berichte über vorhandene Exploits. Anwender sollten den angekündigten Patch unverzüglich nach seiner Veröffentlichung installieren.

Mit dem Update vom 21. Oktober 2026 wurden für verschiedene PHP-Versionen Patches bereitgestellt und weitere Details veröffentlicht. Informationen finden sich unter anderem in den GitHub-Advisories zu den beiden CVEs sowie in Blogartikeln von Wiz.io und Calif.io. Wiz.io und Calif.io waren gemeinsam mit OpenAI an der Entdeckung der Schwachstellen beteiligt.

BSI rechnet mit schneller Ausnutzung

Nach aktuellem Kenntnisstand sind alle bekannten PHP-Versionen betroffen, mindestens zurückgehend bis PHP 5. Eine erfolgreiche Ausnutzung könnte Angreifern die entfernte Ausführung von Schadcode auf betroffenen Webservern ermöglichen. Das BSI warnt deshalb vor einer Gefahr für weltweit betriebene Webanwendungen und die dahinterliegenden IT-Systeme.

Das BSI rechnet möglicherweise innerhalb weniger Stunden nach Veröffentlichung der Updates mit einer großflächigen Ausnutzung. KI-gestützte Werkzeuge könnten Angreifer bei der kurzfristigen Analyse der Schwachstellen und bei der Entwicklung von Exploits unterstützen.

Organisationen sollen unverzüglich Ressourcen für die Installation der Sicherheitsupdates, die Verifizierung der Patches und die verstärkte Überwachung exponierter Systeme bereitstellen. Verantwortliche sollen außerdem die operative Bereitschaft sicherstellen, notwendige Ressourcen priorisieren und die zeitnahe Umsetzung sowie die Überprüfung der Maßnahmen nachhalten. An der Uni Bremen bleibt die Website heute trotzdem erst einmal still.