Am 23. Oktober 2026 sind im Raum Ulm noch immer Folgen einer kritischen PHP-Sicherheitslücke spürbar. Seit Mittwoch haben zahlreiche Behörden und öffentliche Einrichtungen ihre Websites und Online-Dienste vorübergehend abgeschaltet. Betroffen sind weltweit viele Webserver und IT-Systeme, darunter zahlreiche Systeme der Landesverwaltung Baden-Württemberg.

Am Donnerstag, 22. Oktober 2026, waren unter anderem die Website des Landratsamts Alb-Donau-Kreis, mehrere Online-Dienste des Landratsamts, die Websites der Stadtverwaltungen Blaubeuren und Langenau sowie die Website der Stadt Erbach nicht erreichbar. Beim Landratsamt fielen neben der Behördenwebsite auch externe Online-Angebote aus, darunter die internetbasierte Fahrzeugzulassung i-Kfz des Bundes. Die gemeinsame Zulassungsstelle der Stadt Ulm und des Alb-Donau-Kreises blieb dagegen erreichbar. Online-Termine beim Landratsamt konnten weiterhin über einen Direktlink aufgerufen werden.

Universität Ulm schaltete Systeme vorsorglich ab

Auch an der Universität Ulm gingen am Mittwochnachmittag mehrere Systeme vorsorglich vom Netz: Webserver, die Lernplattform Moodle und der Dienst CloudStore. Nach wenigen Stunden, gegen 17 Uhr, waren die Angebote wieder online. Die Universität erklärte, die Abschaltung habe der Gefahrenabwehr wegen eines als sehr hoch eingestuften Risikos gedient. Hinweise auf einen tatsächlichen Sicherheitsvorfall gebe es nicht.

Die Stadt Ulm reagierte nach eigenen Angaben unmittelbar auf eine Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI), nahm potenziell betroffene Systeme vorsorglich vom Netz und spielte Sicherheitsupdates ein. Nach aktuellem Stand lagen keine Hinweise auf einen Angriff vor; einzelne digitale Angebote konnten vorübergehend eingeschränkt sein. In Blaubeuren und Langenau wurde auf den Websites auf eine kurze Unterbrechung wegen Sicherheitsupdates und dringender Wartungsarbeiten hingewiesen.

Anders die Lage in Neu-Ulm: Nach Angaben der Stadtverwaltung war die Stadt vollständig online erreichbar. Der erforderliche Patch sei dort schnell installiert worden. Wie lange die Einschränkungen bei anderen Kommunen dauern, war zunächst offen. Das hing vom Fortschritt beim kommunalen IT-Dienstleister Komm.One ab.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Zwei Lücken mit dem Spitznamen „PHP2Shell“

In der Programmiersprache PHP, die Grundlage eines großen Teils der weltweiten Websites ist, wurden zwei extrem kritische Schwachstellen entdeckt. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Nach CVSS 4.0 wurden beide mit 9,2 von 10 Punkten bewertet.

Angreifer könnten über die Lücken aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Für eine Ausnutzung sind laut den Bewertungen weder Authentifizierung noch Nutzerinteraktion erforderlich. In Berichten werden die Schwachstellen auch als „PHP2Shell“ bezeichnet – in Anlehnung an „Log4Shell“.

Die PHP-Entwickler hatten Details und Patches für den 21. Oktober 2026 ab 16 Uhr deutscher Zeit, also 14:00 UTC, angekündigt. An diesem Tag wurden Sicherheitsupdates für verschiedene PHP-Versionen bereitgestellt und weitere Einzelheiten veröffentlicht. Informationen finden sich unter anderem in den GitHub-Advisories zu den beiden CVEs sowie in Blogartikeln von Wiz.io und Calif.io. Wiz.io und Calif.io waren gemeinsam mit OpenAI an der Entdeckung der Schwachstellen beteiligt.

Zum Zeitpunkt der Vorankündigung waren keine bestätigten Ausnutzungen bekannt, allerdings gab es unbestätigte Berichte über vorhandene Exploits. Der Sicherheitsanbieter Patchstack meldete erste Angriffe auf PHP-Systeme; Meldungen mehrerer Hosting-Unternehmen seien am Morgen des 21. Oktober eingegangen. Das BSI erwartet, dass die Lücken innerhalb kurzer Zeit ausgenutzt werden könnten.

Warum die Reichweite so groß ist

PHP steckt unter anderem in WordPress, Drupal und Joomla, in Onlineshops sowie in individuell entwickelten Unternehmensanwendungen. Auch Industrieunternehmen verwenden PHP-basierte Kunden- und Serviceportale, interne Verwaltungsoberflächen und webbasierte Datenbankanwendungen. Eine Schwachstelle in der PHP-Laufzeitumgebung kann deshalb zahlreiche Anwendungen treffen, selbst wenn diese keinen eigenen Programmierfehler enthalten.

Bei einer sogenannten Remote Code Execution führen Angreifer eigenen Programmcode auf entfernten Systemen aus. Je nach Konfiguration und Berechtigungen könnten sie vertrauliche Informationen auslesen, Anwendungen manipulieren oder weitere Angriffe auf verbundene IT-Systeme vorbereiten. Nach Einschätzung von CERT-EU könnten sämtliche PHP-Versionen ab Version 5 betroffen sein; welche Versionsstände tatsächlich verwundbar sind, sollte mit den Sicherheitsupdates bekannt gegeben werden.

Veröffentlichte Updates können Rückschlüsse auf die zugrunde liegenden Programmierfehler ermöglichen. BSI-Vizepräsident Thomas Caspers hält deshalb eine großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Patches für wahrscheinlich. KI-gestützte Werkzeuge könnten die Analyse der Updates und die Entwicklung von Exploits zusätzlich beschleunigen. Bitkom fordert ebenfalls sofortige Sicherheitsmaßnahmen und verweist auf die weltweite Verbreitung von PHP auf Webservern.

Updates installieren, Systeme prüfen

CERT-EU und das RUS-CERT der Universität Stuttgart empfehlen, gefährdete Dienste bis zur Installation der Updates vorübergehend offline zu nehmen oder ihre Erreichbarkeit einzuschränken. Das PHP-Entwicklerteam stellt die Sicherheitsupdates auf GitHub bereit. Administratoren sollen die abgesicherten Versionen unmittelbar nach deren Verfügbarkeit installieren und anschließend überprüfen, ob die Schwachstellen geschlossen wurden.

Welcher Aktualisierungsweg gilt, hängt von der jeweiligen Systemumgebung ab. Die Updates können durch PHP-Entwickler, Betriebssystemanbieter, Hosting-Anbieter oder Softwarehersteller bereitgestellt werden. Bei älteren PHP-Installationen ohne reguläre Sicherheitsupdates müssen Betreiber prüfen, ob weiterhin Sicherheitspatches verfügbar sind. Falls nicht, bleibt die Migration auf eine unterstützte Version oder eine vorübergehende Abschottung der Anwendung.

Unternehmen sollten ihre PHP-basierten Systeme zusätzlich auf verdächtige Aktivitäten untersuchen: ungewöhnliche Zugriffe, unerwartet gestartete Prozesse und nicht autorisierte Dateiänderungen. An der Universität Ulm war der kurze Offline-Moment bereits am Mittwochnachmittag vorbei. Bei manchen kommunalen Angeboten in der Region blieb die digitale Tür dagegen zunächst noch zu.