Wer am 21. Oktober 2026 die Website der Universität Tübingen aufrufen wollte, bekam zeitweise keine Nachrichten aus dem Hochschulbetrieb, sondern einen Hinweis auf Sicherheitsupdates. Auch beim Universitätsklinikum Tübingen (UKT) war der Webauftritt vorübergehend in den Wartungsmodus gewechselt. Der Grund: IT-Sicherheitsexperten warnten weltweit vor zwei kritischen Lücken in PHP, die unter dem Namen „PHP2Shell“ bekannt wurden.

PHP steckt in zahlreichen Webseiten. Angreifer könnten die Schwachstellen aus der Ferne nutzen, um Schadcode auszuführen und im schlimmsten Fall die vollständige Kontrolle über betroffene Server zu übernehmen. Blogs, Onlineshops, Nachrichtenportale und WordPress-Webseiten gehören zu den potenziell gefährdeten Angeboten – also genau jene digitalen Anlaufstellen, die sonst einfach funktionieren sollen.

Webseiten im Kreis Tübingen vorsorglich abgeschaltet

Die Universität Tübingen, das UKT, mehrere Städte und Gemeinden im Kreis sowie das Regierungspräsidium Tübingen reagierten vorsichtig und schalteten ihre Online-Auftritte ab oder in den Wartungsmodus. Gegen 17.50 Uhr war die UKT-Website wieder erreichbar. Die Webseiten von Rottenburg, Ammerbuch und Starzach blieben zu diesem Zeitpunkt weiterhin offline. Auch das Regierungspräsidium Tübingen hatte seine Online-Präsenz abgeschaltet.

Das BSI, das Bundesamt für Sicherheit in der Informationstechnik, hatte empfohlen, PHP zu aktualisieren oder Webseiten vorübergehend abzuschalten. Für Verbraucher bestand laut dem Bericht allerdings kein unmittelbarer Handlungsbedarf: Die Lücken betreffen die serverseitige Software. Smartphones, Laptops und private Computer sind nicht direkt gefährdet. Zu spüren war die Maßnahme für Nutzer vor allem dort, wo eine Webseite plötzlich nicht erreichbar war.

Warum PHP2Shell so weit reicht

PHP2Shell bezeichnet zwei kritische Remote-Code-Execution-Schwachstellen im PHP-Interpreter. Das CERT-EU führt sie unter den Kennungen CVE-2026-109618 und CVE-2026-109619. Nach Angaben der PHP Foundation sind alle PHP-Versionen ab PHP 5 betroffen – also Versionen, die seit 2004 im Einsatz sind. Die Foundation bewertete die Lücken mit CVSS 9,2, der Einstufung „kritisch“, und veröffentlichte am 20. Oktober 2026 eine Warnung.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

PHP läuft schätzungsweise auf 70 bis 75 Prozent der Webserver. Darauf basieren unter anderem WordPress, Drupal, Joomla und Magento. Die mögliche Reichweite wurde auf mehrere hundert Millionen Websites geschätzt. Palo Alto Networks identifizierte mehr als 22,6 Millionen Internet-Webserver mit möglicherweise verwundbarer PHP-Software. Da kommt schon einiges zusammen.

Technisch geht es um die Speicherverwaltung von PHP. Unter bestimmten Voraussetzungen, unter anderem wenn das konfigurierte Speicherlimit (memory_limit) greift, können ein Ausführungsfehler und fehlerhaftes automatisches Aufräumen des Speichers dazu führen, dass Angreifer Speicher auslesen und freigeben sowie eigenen Schadcode auf dem Webserver ausführen. Veröffentlichten Proofs of Concept zufolge kann der Angriff über eine multipart-POST-Anfrage mit dem Feld PHP_SESSION_UPLOAD_PROGRESS erfolgen. Dieses steht mit der Upload-Fortschrittsanzeige session.upload_progress in Verbindung, die ab PHP 5.4 standardmäßig aktiviert ist.

Für das Auslösen einer Schwachstelle sind mehrere Tausend HTTP-Anfragen erforderlich. Danach soll die Remote-Codeausführung zuverlässig funktionieren und sich für automatisierte Angriffe eignen. Der Name „PHP2Shell“ leitet sich von einem geleakten Exploit-Werkzeug und der Bezeichnung „Log4Shell“ ab.

Patches kamen früher als geplant

Sicherheitsupdates für PHP-Versionen ab PHP 8.2 sollten ursprünglich am 22. Oktober erscheinen. Wegen eines Leaks in einschlägigen Foren wurde die Veröffentlichung auf den 21. Oktober um 16.00 Uhr MESZ vorgezogen. Tatsächlich wurden die Patches unangekündigt etwa 20 Minuten vor diesem Zeitpunkt veröffentlicht.

Das BSI hatte am 21. Oktober 2026 in Bonn gewarnt, dass kritische PHP-Schwachstellen weltweit Webanwendungen bedrohen. Nach damaligem Kenntnisstand waren alle bekannten PHP-Versionen verwundbar, mindestens zurückgehend bis PHP 5. Die Behörde konnte nicht ausschließen, dass Angreifer Schadcode aus der Ferne auf Webservern mit PHP-Anwendungen ausführen.

Die Sorge war nicht bloß theoretischer Natur: Cloudflare bestätigte am 21. Oktober 2026 erste Angriffe auf Webseiten über die PHP-Schwachstellen und leitete Gegenmaßnahmen ein. Für zahlreiche ältere PHP-Versionen waren zunächst keine Patches verfügbar. Betreiber sollten betroffene Anwendungen deshalb isolieren und vorübergehend aus öffentlichen Netzwerken entfernen.

Behörden und Kliniken gingen offline

Auch außerhalb Tübingens wurden digitale Türen zugemacht. In Deutschland deaktivierten Mainz und Dresden ihre Onlinedienste. Behörden- und Regierungsseiten in Hessen, Thüringen, Bayern und Baden-Württemberg gingen teilweise offline. Zahlreiche Kliniken und Universitäten deaktivierten oder sperrten ihre Webseiten.

In den Niederlanden wurden unter anderem das Regierungs-Bürgerportal MijnOverheid.nl, der Authentifizierungsdienst DigiD und Webseiten von RTL Nederland vorsorglich abgeschaltet. Finnland sperrte sämtliche Netzwerkdienste der Regierung für eingehenden Datenverkehr.

Das BSI forderte IT-Verantwortliche auf, Ressourcen für die umgehende Installation der Patches bereitzuhalten. Erwartet wurden großflächige KI-gestützte Angriffe; Angreifer könnten die Lücken mithilfe solcher Werkzeuge innerhalb kurzer Zeit analysieren und Exploits entwickeln. Eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Updates hielt die Behörde für wahrscheinlich.

Betreiber sollen die Patches unmittelbar nach ihrer Veröffentlichung auf PHP-Webservern installieren, den Patchstatus anhand des Sicherheitsavisories überprüfen und exponierte PHP-Webserver verstärkt auf Auffälligkeiten überwachen. Das BSI sieht unverzüglichen Handlungsbedarf. Im Kreis Tübingen war davon zunächst vor allem eines sichtbar: eine leere Seite, ein Wartungshinweis – und die ungewohnte Pause dort, wo sonst der nächste Klick wartet.