Wer heute an der Universität Hamburg auf ein Online-Angebot zugreifen will, kann unvermittelt vor einer leeren Seite stehen. Grund ist eine als kritisch eingestufte Sicherheitslücke in PHP, einer weit verbreiteten Programmiersprache und technischen Grundlage vieler Websites. Mehrere Behörden, Kommunen, Universitäten und Krankenhäuser haben ihre Internetauftritte deshalb vorsorglich abgeschaltet oder in den Wartungsmodus versetzt.

Am Mittwoch waren im Norden einige Seiten bereits wieder erreichbar, darunter die Websites der Städte Hannover, Varel und Stralsund sowie der Krankenhäuser in Grimmen und Bergen auf Rügen. Weiterhin nicht erreichbar waren Internetangebote von Behörden, kommunalen Betrieben, Verbänden und Vereinen in Niedersachsen, Hamburg, Schleswig-Holstein und Mecklenburg-Vorpommern.

PHP2Shell legt Webangebote lahm

Unter dem Namen „PHP2Shell“ sind zwei kritische Schwachstellen bekannt: CVE-2026-109618 und CVE-2026-109619. Angreifer können sie ohne vorherige Anmeldung aus der Ferne nutzen, um eigenen Schadcode auf betroffenen Servern auszuführen. Im schlimmsten Fall lässt sich ein System vollständig übernehmen, Datenbanken lassen sich auslesen oder Server können für weitere Cyberangriffe missbraucht werden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor der Lücke und stufte die Lage mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Betreiber von Internetangeboten sollten im Zweifel ihre Server vollständig vom Netz nehmen. Sicherheitsupdates werden derzeit eingespielt; das PHP-Entwicklerteam stellte am Mittwoch Notfall-Updates bereit.

Die Schwachstellen waren laut AFP bereits im August entdeckt und vertraulich an PHP-Entwickler gemeldet worden. Ursprünglich sollte die Veröffentlichung am 22. Oktober erfolgen. Wegen eines Leaks wurde sie laut heise online auf Mittwoch vorgezogen. Dass die Details nun vorzeitig öffentlich waren, macht die Sache besonders hektisch: Heise Security erwartete funktionierende Exploits innerhalb weniger Stunden oder spätestens eines Tages.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Wie die Fehler entdeckt wurden, ist bislang nicht genau bekannt. Künstliche Intelligenz gilt als mögliche Ursache, weil die Lücken zuvor jahrzehntelang unentdeckt geblieben sein sollen. Umgekehrt könnten Angreifer KI einsetzen, um ungeschützte PHP-Server automatisiert zu finden und in großer Zahl anzugreifen. Eine weltweite Welle automatisierter Angriffe hat begonnen und könnte Wochen oder Monate andauern.

Norddeutsche Seiten vorsorglich abgeschaltet

Niedersachsen nahm sämtliche Landes-Websites, einschließlich der Polizei, vorsorglich in den Wartungsmodus. Der Landesdienstleister IT.Niedersachsen begann mit der Installation der Sicherheitsupdates; der Normalbetrieb sollte voraussichtlich im Laufe des Vormittags wieder aufgenommen werden. Mecklenburg-Vorpommern isolierte das Regierungsportal und weitere Landes-Websites vorübergehend vom Internet.

Als offline oder zeitweise offline wurden in Niedersachsen außerdem die Medizinische Hochschule Hannover, die Universität Göttingen, die Verkehrsbetriebe Üstra sowie die Städte Goslar, Wolfenbüttel und Celle genannt. Auch die Landkreise Hildesheim, Cuxhaven und Hameln-Pyrmont waren betroffen.

In Mecklenburg-Vorpommern traf es die Stadt Rostock, die Stadt Anklam, den Landkreis Nordwestmecklenburg, die Bonhoeffer-Klinik, das Sana-Klinikum Wismar, die LUP-Kliniken und die Universitätsmedizin Greifswald. In Hamburg und Schleswig-Holstein waren unter anderem die Universität Hamburg sowie die Städte Flensburg, Kiel, Reinbek und Geesthacht genannt.

Die Online-Seiten des NDR blieben erreichbar, weil der Sender PHP nicht für seine Websites verwendet. Newsletter-Angebote waren am Mittwoch allerdings vorübergehend eingeschränkt. Auch die Stadt Mainz deaktivierte mehrere städtische Internetdienste sowie das Portal mainz.de. Ämter und Bürgerbüros blieben dort telefonisch und per E-Mail erreichbar, vereinbarte Termine fanden weiterhin statt. Abgeschaltet wurde der externe Webauftritt, um die kommunale Datenverarbeitung zu schützen.

Was Betreiber und Nutzer jetzt wissen sollten

Betroffen sein können weltweit Millionen Websites: Blogs, Nachrichtenportale, Onlineshops und Content-Management-Systeme wie WordPress, Moodle, Joomla!, Typo3 und Drupal. Über WordPress werden nach Expertenschätzungen etwa 400 bis 500 Millionen Webseiten betrieben. Persönliche Daten auf Online-Portalen, Bürgerportalen und in Onlineshops sind indirekt gefährdet, wenn die Server eine betroffene PHP-Version verwenden und nicht aktualisiert wurden. Bei erfolgreichen Angriffen könnten Datenbanken mit Kundendaten, Passwörtern oder Kontaktdaten kompromittiert werden.

Betreiber eigener Websites sollten die verwendete PHP-Version ihrer Serverumgebung überprüfen und unverzüglich ihre Systemadministratoren, IT-Dienstleister oder Hosting-Anbieter kontaktieren. Verfügbare PHP-Sicherheitsupdates und Patches für eingesetzte Content-Management-Systeme müssen sofort installiert werden. Nicht mehr unterstützte PHP-Versionen ohne offizielle Updates sollen isoliert oder umgehend abgeschaltet werden. Große Webhoster wie Ionos haben PHP-Versionen in ihren Systemen aktualisiert; besonders geschützt sind Websites mit aktivierten automatischen Sicherheitsupdates.

Das PHP-Projekt hatte für den 21. Oktober 2026 um 16 Uhr die Veröffentlichung eines Sicherheitspatches angekündigt. PHP-Entwickler und Hosting-Anbieter weltweit arbeiteten an der Behebung. Entwarnung ist aber erst möglich, wenn die meisten Webhoster und Administratoren ihre Systeme aktualisiert haben und nicht weiter nach ungepatchten Servern gesucht wird.

Für normale Internetnutzer besteht beim alltäglichen Surfen auf Smartphone, Tablet oder PC kein unmittelbarer Handlungsbedarf. Die Lücke betrifft die Server der Website-Betreiber, nicht die Endgeräte. Indirekte Folgen sind dennoch möglich: Onlinedienste können ausfallen, unzureichend geschützte Websites können Daten verlieren, und bei E-Mail-Anbietern können etwa beim Versand von Anhängen Probleme auftreten.

Wer eine Kompromittierung vermeiden will, sollte PHP-Webserver vom Netz trennen. Das klingt drastisch, ist für alte Systeme ohne Sicherheitsupdate aber der vorgesehene Schritt. Die Uni Hamburg bleibt damit Teil einer langen Liste vorsichtshalber abgedrehter Webangebote — während anderswo bereits wieder Seiten aufgehen.