An der Universität Potsdam sind Online-Dienste vorsorglich abgeschaltet worden. Der Grund ist eine neu entdeckte, schwerwiegende Sicherheitslücke in PHP. Die Programmiersprache steckt hinter unzähligen Webseiten und Online-Diensten – von Blogs und Nachrichtenportalen bis zu Onlineshops und Content-Management-Systemen wie WordPress. Für Nutzerinnen und Nutzer wirkt das erst einmal schlicht wie: Seite zu, Dienst weg.

Eine Sprecherin der Universität Potsdam betonte, die Abschaltung sei eine Vorsichtsmaßnahme und kein Hackerangriff. Auch andere Einrichtungen in Brandenburg haben ihre Angebote vorübergehend vom Netz genommen. Betroffen sind unter anderem das Ernst von Bergmann Klinikum, die Internetwache der Brandenburger Polizei, die Stadt Cottbus, der Landkreis Dahme-Spreewald, die Medizinische Universität Lausitz Carl Thiem sowie Ver- und Entsorgungsunternehmen. Auch in anderen Bundesländern wurden Online-Angebote deaktiviert, darunter die Webseiten der Berliner Charité.

Warnung mit engem Zeitfenster

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte das Bedrohungspotenzial als hoch ein und veröffentlichte eine Cybersicherheitswarnung. Nach Angaben des BSI sind nach aktuellem Kenntnisstand alle bekannten PHP-Versionen bis mindestens einschließlich PHP 5 betroffen. Kritische Schwachstellen gefährden damit weltweit Webanwendungen. Es kann nicht ausgeschlossen werden, dass Angreifer aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen.

Die Sicherheitsupdates der PHP-Entwickler wurden für den 21. Oktober 2026 um 16 Uhr deutscher Zeit erwartet. Das BSI rechnet damit, dass die Schwachstellen innerhalb weniger Stunden nach Veröffentlichung großflächig ausgenutzt werden könnten. Der mögliche Einsatz KI-gestützter Werkzeuge macht die Sache noch dringlicher: Angreifer könnten Sicherheitsupdates automatisiert analysieren und daraus rasch funktionsfähige Exploits entwickeln. Das Zeitfenster zwischen Patch und ersten Angriffen könnte dadurch schrumpfen – ziemlich ungemütlich für alle, die ihre Webserver betreiben.

Die Entwickler stellen Patches für verschiedene PHP-Versionen bereit. Das BSI fordert IT-Sicherheitsverantwortliche und Betreiber auf, sofort personelle Ressourcen für die Reaktion bereitzuhalten und die Patches unmittelbar nach ihrer Veröffentlichung auf PHP-Webservern zu installieren. Danach soll der Patchstatus anhand des Sicherheitsberichts überprüft werden. Exponierte PHP-Webserver sollen außerdem verstärkt auf Auffälligkeiten überwacht werden.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Landkreis nimmt Dienste vom Netz

Der Landkreis Dahme-Spreewald hat betroffene Dienste präventiv abgeschaltet, bis das offizielle Update installiert ist. Für Bürgerinnen und Bürger bedeutet das Einschränkungen bei der Terminvergabe und beim Abruf von Formularen. Gerade solche kleinen digitalen Wege merkt man schnell, wenn sie plötzlich nicht mehr funktionieren: kein Formular, kein Termin, erst einmal Pause.

Die Lücke betrifft potenziell zahlreiche Webanwendungen, Content-Management-Systeme und Onlineshops. Genannt werden neben WordPress auch TYPO3, WooCommerce und Shopware. Nach Angaben des Fachartikels könnte eine sogenannte Remote Code Execution möglich sein. Angreifer könnten dann aus der Ferne Schadcode auf Webservern ausführen, vertrauliche Daten abgreifen und betroffene IT-Systeme vollständig kompromittieren.

Was Betreiber jetzt prüfen sollen

BSI-Vizepräsident Thomas Caspers erwartet eine großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Sicherheitsupdates. Unternehmen sollen deshalb ihr IT-Personal oder externe Dienstleister für eine unverzügliche Reaktion bereitstellen. Die Sicherheitsupdates müssen für die jeweils eingesetzte PHP-Version sofort nach Veröffentlichung auf allen Webservern installiert werden; anschließend ist der Patch-Status anhand des offiziellen Sicherheitsberichts zu kontrollieren.

Öffentlich erreichbare PHP-Webserver sollten verstärkt auf ungewöhnliche Zugriffe, Lastspitzen und Auffälligkeiten in den Server-Logs geprüft werden. Aktuelle Backups aller Serversysteme sollen sicher vorliegen. Unternehmensleitungen sind aufgefordert, ihr IT-Team oder ihren Systemdienstleister umgehend zu informieren. Denn eine Kompromittierung kann Betriebsausfälle, Datenverlust und haftungsrechtliche Konsequenzen nach sich ziehen.

An der Uni Potsdam bleibt derweil der nüchterne Grund für die Abschaltung entscheidend: Vorsicht, nicht Panik. Trotzdem fühlt sich ein leerer Browserbildschirm an einem normalen Hochschultag irgendwie ziemlich endgültig an.