An der Universität Tübingen waren am Mittwoch, 21. Oktober 2026, zentrale Webseiten und Onlinedienste vorsorglich nicht erreichbar. Grund sind kurzfristig bekannt gewordene kritische Sicherheitslücken in PHP. Auch die Universitäten Freiburg, Heidelberg und Ulm, das Karlsruher Institut für Technologie (KIT), das Universitätsklinikum Freiburg sowie Webseiten der baden-württembergischen Landesregierung gingen teilweise oder vollständig offline.

Die Webseiten der Universitäten Heidelberg, Tübingen und Ulm waren nicht erreichbar. Auf der Freiburger Universitätsseite stand lediglich eine Störungsmeldung: Verschiedene Webseiten und zentrale Dienste seien wegen der neu bekannt gewordenen PHP-Sicherheitslücken abgeschaltet worden. Die Universität Stuttgart blieb dagegen erreichbar.

Zwei Lücken, hohe Dringlichkeit

Das PHP-Sicherheitsteam warnte am 21. Oktober vor zwei kritischen Schwachstellen. Beide erhielten einen CVSS-v4.0-Wert von 9,2. CERT-EU führt sie unter den Kennungen CVE-2026-109618 und CVE-2026-109619; bei beiden ist eine mögliche Ausführung fremden Codes beschrieben.

Die Sicherheitsupdates sollten am 21. Oktober 2026 um 14:00 Uhr UTC beziehungsweise 16:00 Uhr MESZ erscheinen. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) erwartete die Veröffentlichung um 16 Uhr deutscher Zeit. Zum Zeitpunkt der Warnungen lagen allerdings noch keine vollständigen technischen Details und keine endgültige Liste der betroffenen oder korrigierten PHP-Versionen vor.

Nach aktuellem Kenntnisstand können alle bekannten PHP-Versionen betroffen sein, mindestens zurück bis PHP 5. Die Angaben zu PHP-Versionen ab PHP 5 waren zunächst noch nicht durch endgültige PHP-Versionshinweise bestätigt. Auch aktuell unterstützte Versionen sollten deshalb nicht vorschnell als sicher gelten. Selbst eine Sicherheitsaktualisierung vom September 2026 bedeutet nicht automatisch, dass die neuen Schwachstellen geschlossen sind.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

CERT-EU und BSI warnen vor möglicher Remote Code Execution (RCE). Unter bestimmten Voraussetzungen könnten Angreifer Schadcode auf Webservern ausführen. Je nach Berechtigungen des PHP-Prozesses wären Dateien, Datenbanken und weitere Anwendungen erreichbar. Denkbar sind manipulierte Webseiten, Datendiebstahl oder die Installation weiterer Schadsoftware. Die konkreten Angriffsbedingungen sind noch nicht offiziell veröffentlicht; dass jede PHP-Website und jede PHP-Installation unter allen Umständen angreifbar ist, ist daher nicht bestätigt.

Von WordPress bis zum Rathaus

PHP steckt weltweit in unzähligen Webseiten und Onlinediensten – in Blogs, Nachrichtenportalen, Onlineshops und Content-Management-Systemen. Neben WordPress nutzen auch Drupal und Joomla die Laufzeitumgebung. Bei WordPress übernimmt PHP unter anderem das Laden von Seiten, die Verarbeitung von Formularen sowie die Zusammenarbeit mit Plugins und Themes. Die aktuelle Warnung betrifft allerdings zunächst die PHP-Laufzeitumgebung und stellt keine neue WordPress-Sicherheitslücke dar.

Ein Update von WordPress, Plugins und Themes allein reicht deshalb nicht. Die PHP-Version des Webservers muss ebenfalls geprüft und aktualisiert werden. Nach der Veröffentlichung sollen Administratorinnen und Administratoren die offiziellen Versionshinweise mit den tatsächlich installierten PHP-Versionen vergleichen.

Betroffen waren offenbar nicht nur Hochschulen. Genannt wurden Wiki- und Verlagsseiten, die cloudbasierte Rechnungssoftware easybill sowie erste Kommunen, Behörden und Krankenhäuser. Die Stadt Mainz schaltete vorsorglich mehrere städtische Internetdienste und das zentrale Portal mainz.de ab. Einige Unternehmen sollen ihre Webserver ebenfalls vorsorglich heruntergefahren haben und sie erst nach Veröffentlichung und Installation der Patches wieder in Betrieb nehmen.

Für normale Internetnutzer besteht laut dem Bericht kein unmittelbarer Handlungsbedarf: Die Lücke betrifft Server, nicht die eigenen Endgeräte. Indirekt kann es trotzdem ruckeln – durch vorübergehende Ausfälle oder mögliche Datenabflüsse bei Webseiten, die nicht rechtzeitig geschützt wurden.

Was Betreiber jetzt prüfen sollten

IT-Experten raten Webseiten-, Shop- und Plattformbetreibern, unverzüglich ihre Systemadministratoren, IT-Dienstleister oder Hosting-Anbieter zu kontaktieren. Bis die Patches veröffentlicht sind, sollten öffentlich erreichbare PHP-Anwendungen erfasst, sichere Backups erstellt und Webserver-Protokolle regelmäßig geprüft werden. Bei hohem Risiko kann der Zugriff vorübergehend eingeschränkt werden; besonders kritische Systeme lassen sich gegebenenfalls zeitweise vom Internet trennen.

Eine Web Application Firewall kann als zusätzliche Schutzschicht dienen. Wegen der noch unbekannten technischen Details bietet sie aber keine vollständige Garantie. Betreiber sollten Zuständigkeiten, installierte Versionen und kurzfristige Update-Möglichkeiten dokumentieren und für geschäftskritische Anwendungen einen Funktionstest in einer vergleichbaren Umgebung vorbereiten.

In WordPress lässt sich die vollständige PHP-Versionsnummer über den Administrationsbereich unter Werkzeuge → Website-Zustand → Bericht beziehungsweise Info → Server ablesen. Beim Hosting-Anbieter sind Bereiche wie „PHP-Einstellungen“, „PHP-Version“ oder die Domainverwaltung relevant. Wer mehrere Domains betreibt, muss jede Website einzeln kontrollieren, weil unterschiedliche PHP-Versionen eingesetzt werden können. Außerdem sollte geklärt werden, wann der Anbieter die neuen Sicherheitskorrekturen einspielt.

Auf eigenen Servern zeigt php -v häufig die PHP-CLI-Version an. Die vom Webserver verwendete Version kann jedoch abweichen – etwa bei mehreren PHP-FPM-Versionen, Containern oder getrennten Laufzeitumgebungen. Unter Windows Server und IIS kommen zusätzlich FastCGI-Einstellungen und Handler-Zuordnungen hinzu.

Vor der Aktualisierung gehört ein vollständiges Backup auf die Liste: Website-Dateien, Datenbank, WordPress-Konfiguration, Plugins, Themes und hochgeladene Medien. Nach Veröffentlichung der Patches muss geprüft werden, welche PHP-Versionsreihen korrigiert wurden. Beim Hosting erfolgt die Umstellung meist über die Administrationsoberfläche, auf eigenen Servern über die Paketverwaltung oder die vorgesehene Installationsmethode. Eine bloße Umstellung auf eine andere, ebenfalls verwundbare PHP-Version hilft nicht.

Nach dem Update sollte kontrolliert werden, ob der Webserver tatsächlich die korrigierte Version verwendet. Bei WordPress gehören Startseite, Administrationsbereich, Formulare und gegebenenfalls der Warenkorb in den Funktionstest. Fehler können durch inkompatible Plugins oder PHP-Erweiterungen entstehen.

Warnung vor schnellen Angriffen

Die Lücken können neben Linux-Systemen auch Windows Server mit IIS und FastCGI, Windows-Systeme mit PHP und Apache sowie lokale Entwicklungsumgebungen wie XAMPP betreffen. XAMPP-Installationen müssen berücksichtigt werden, wenn sie über das Netzwerk erreichbar oder produktiv eingesetzt werden. Nach dem Austausch von PHP-Dateien ist sicherzustellen, dass die neue Version geladen wird; je nach Umgebung kann dafür ein kontrollierter Neustart von PHP- oder Webserverdiensten nötig sein.

Das BSI warnt weltweit vor möglichen großflächigen Angriffskampagnen und einer Kompromittierung von IT-Systemen in verschiedenen Bereichen. BSI-Vizepräsident Thomas Caspers hält eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Updates für wahrscheinlich. Angreifer könnten KI-gestützte Werkzeuge einsetzen, um die Schwachstellen rasch zu analysieren und Exploits zu entwickeln.

Das BSI fordert IT-Sicherheitsverantwortliche und Betreiber auf, unmittelbar nach Veröffentlichung die passenden PHP-Patches auf Webservern zu installieren, den Patchstatus anhand des Sicherheits-Advisories zu überprüfen und ausreichend personelle Ressourcen für die Reaktion bereitzuhalten. Betreiber exponierter PHP-Webserver sollen ihre Systeme verstärkt auf Auffälligkeiten überwachen – während in Tübingen und anderswo die abgeschalteten Seiten auf ihre Rückkehr warten.