Eine neu entdeckte Sicherheitslücke in PHP sorgt weltweit für Unruhe. Betroffen sein können Blogs, Nachrichtenportale, Onlineshops und Content-Management-Systeme – also genau jene digitalen Angebote, die im Alltag meist einfach funktionieren sollen.

PHP steckt unter anderem in WordPress, Moodle, Joomla!, Typo3 und Drupal. Allein mit WordPress werden laut Expertenschätzungen weltweit etwa 400 bis 500 Millionen Webseiten betrieben. Auch an der Uni Bonn war die Lage spürbar: Internetseiten der Universität Bonn und der Uniklinik Bonn waren zeitweise nicht erreichbar. Die Webseite der Stadt Bonn war ebenfalls zeitweise offline.

„PHP2Shell“ setzt Betreiber unter Zeitdruck

Unter dem Namen „PHP2Shell“ werden zwei kritische Schwachstellen geführt: CVE-2026-109618 und CVE-2026-109619. Sie ermöglichen es, aus der Ferne eigenen Schadcode auszuführen – ohne vorherige Anmeldung. Angreifer könnten dadurch die vollständige Kontrolle über Webseiten und Server übernehmen, Datenbanken und Kundendaten abgreifen oder die betroffene Infrastruktur für weitere Cyberangriffe missbrauchen.

Das IT-Sicherheitsunternehmen Huntress, das PHP-Sicherheitsteam und das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnten vor der Lücke. Das BSI stufte die Lage mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Unverzügliche Gegenmaßnahmen seien erforderlich; außerdem warnte die Behörde vor einer möglichen massiven Beeinträchtigung des Regelbetriebs.

Besonders brisant: Detaillierte Informationen zur Lücke wurden versehentlich vorab veröffentlicht. Sicherheitsexperten rechnen deshalb damit, dass Angreifer automatisierte Skripte zum Aufspüren und Übernehmen ungeschützter Server einsetzen könnten. Heise Security warnte, funktionierende Exploits könnten innerhalb von Stunden, spätestens innerhalb eines Tages, auftauchen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Webseiten vorsorglich abgeschaltet

Die Verwaltung des Kreises Ahrweiler nahm vorsorglich ihre Webseite und einige Onlinedienste vom Netz, bis ein Sicherheitsupdate verfügbar und installiert ist. Andere Verwaltungsleistungen seien nicht betroffen, bestehende Termine fänden wie geplant statt. Telefonisch und per E-Mail bleibe die Verwaltung erreichbar; Informationen würden über die Social-Media-Kanäle des Kreises veröffentlicht.

Auch mehrere Kommunen, Behörden, Universitäten und Krankenhäuser schalteten Onlineangebote vorsorglich ab. Die Stadt Mainz deaktivierte mehrere städtische Internetdienste sowie das zentrale Portal mainz.de. Ämter und Bürgerbüros blieben telefonisch und per E-Mail erreichbar, bereits vereinbarte Termine sollten stattfinden. Die Abschaltung betraf den externen Webauftritt, nicht die kommunale Datenverarbeitung.

In Bochum wurden Webserver vom Netz getrennt. Serviceportal und Bauauskünfte waren vorübergehend nicht erreichbar, während die städtische Webseite erreichbar blieb. Das Landesamt für Zentrale Polizeiliche Dienste nahm die Onlineaufgabe von Anzeigen und die Anmeldung von Versammlungen vom Netz. Der Polizeinotruf 110 war nicht betroffen; Anzeigen konnten weiterhin auf Polizeidienststellen aufgegeben werden.

Auch die Kölner Verkehrs-Betriebe reagierten: Der Internetauftritt der Kölner Seilbahn, der KVB-Blog und das Kundenportal wurden abgeschaltet. Die KVB-App blieb erreichbar.

Patch für Mittwochnachmittag angekündigt

Betreiber von PHP-basierten Webseiten, Onlineshops und Unternehmensplattformen sollen unverzüglich ihre Systemadministratoren, IT-Dienstleister oder Hostinganbieter kontaktieren. Verfügbare PHP- und CMS-Sicherheitsupdates sollten installiert, nicht mehr unterstützte PHP-Versionen isoliert oder aktualisiert werden.

Die PHP-Entwickler kündigten für Mittwochnachmittag um 16 Uhr einen Sicherheitspatch an. Falls Patches nicht kurzfristig installiert werden könnten, solle eine vorübergehende Trennung des Webservers vom Internet erwogen werden. Wer eine Kompromittierung vermeiden wolle, müsse PHP-Webserver bis zur Absicherung vom Internet trennen – kein besonders angenehmer Schritt, aber manchmal ist der digitale Steckerziehen-Moment eben da.

PHP-Entwickler und Hostinganbieter arbeiteten an der Behebung der Schwachstellen. Für normale Internetnutzer besteht beim Surfen auf Smartphone oder PC dagegen kein unmittelbarer Handlungsbedarf, weil die Lücke Server und nicht die Endgeräte betrifft. Indirekte Folgen sind trotzdem möglich: durch Ausfälle von Onlinediensten oder Datenabflüsse auf ungeschützten Webseiten.

Der verlinkte BSI-Inhalt liegt als binäre PDF-Datei beziehungsweise als Ausschnitt aus deren interner Struktur vor. Ein lesbarer Nachrichtenartikeltext ist darin nicht enthalten; eine inhaltliche Zusammenfassung dieser Datei ist daher nicht möglich. Klar ist nur, was die Warnlage für Einrichtungen wie die Uni Bonn praktisch bedeutet: Webseitenbetreiber müssen ihre Systeme prüfen, Updates einspielen und im Zweifel den Zugang von außen kappen.