Wer an der Universität Vechta am 21. Oktober 2026 auf Stud.IP, Webmail oder andere digitale Angebote zugreifen wollte, konnte eine böse Überraschung erleben: Eine schwerwiegende Sicherheitslücke in der weit verbreiteten Programmiersprache PHP beeinträchtigte weltweit zahlreiche Webseiten und Onlinedienste. Das Rechenzentrum schränkte deshalb vorsorglich den Zugang zu mehreren Webdiensten ein, um Datenabflüsse zu verhindern.

Betroffen waren unter anderem Stud.IP, Webmail, ALLRIS und das Personal-Portal. Möglicherweise war auch die Telefonie über den Webanbieter der Universität eingeschränkt. Die Universität wartete auf Sicherheitsupdates der Hersteller und wollte die betroffenen Dienste anschließend schrittweise wieder online stellen. Die Präsenzlehre sollte wie geplant vor Ort stattfinden. Webmeetings waren wegen der Einschränkungen möglicherweise nicht durchführbar; Lehrende wurden gebeten, wenn möglich auf Präsenzlehre umzustellen.

Vechta fährt digitale Angebote herunter

Auch das Arbeiten im Homeoffice war eventuell nicht möglich, falls kein Zugriff über VPN oder vergleichbare Systeme bestand. Beschäftigte sollten daher in Absprache mit ihren Führungskräften – etwa per Telefon oder Messenger – an den folgenden zwei Tagen vor Ort arbeiten. Ein ziemlich analoger Plan für ein sehr digitales Problem.

Am 21. Oktober 2026 um 17:50 Uhr teilte das Rechenzentrum mit, dass die Sicherheitsupdates installiert und die meisten IT-Dienste wieder online gestellt worden seien. Einige Dienste waren weiterhin aus dem öffentlichen Internet nicht erreichbar. Zu diesem Zeitpunkt ging die Universität davon aus, dass der Universitätsbetrieb am 22. Oktober 2026 regulär stattfinden könne.

Der Hintergrund ist ernst: Das RUS-CERT informierte am 21. Oktober 2026 über zwei kritische PHP-Schwachstellen und verfügbare Gegenmaßnahmen. Erste Informationen waren bereits am Abend des 20. Oktober öffentlich geworden. Die Lücken ermöglichen entfernten Angreifern die Ausführung beliebigen Codes, kurz Remote Code Execution oder RCE. Laut CERT-EU sind alle PHP-Versionen ab PHP 5 betroffen – also Softwarestände aus ungefähr 20 Jahren.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

„PHP2Shell“: Angriffe sind bereits beobachtet worden

Das BSI bewertet die Schwachstellen mit CVSS 9.8, der Einstufung „kritisch“. Öffentlich verfügbare Exploits existieren, und das RUS-CERT konnte einen davon erfolgreich auf einem Testsystem verifizieren. Angriffe auf verwundbare Systeme wurden bereits im Internet beobachtet und werden weiterhin erwartet.

Unter der Bezeichnung „PHP2Shell“ sind die beiden Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 registriert. Angreifer können ohne Anmeldung aus der Ferne Schadcode auf betroffenen Servern ausführen. Im schlimmsten Fall erlangen sie vollständige Kontrolle über Webseiten, lesen Datenbanken und Kundendaten aus oder missbrauchen Server für weitere Angriffe. Weil detaillierte Informationen zur Schwachstelle unbeabsichtigt vorzeitig veröffentlicht wurden, wird mit baldigen automatisierten Angriffen auf ungeschützte Server gerechnet.

Potenziell betroffen sind PHP-basierte Dienste wie WordPress, Drupal, TYPO3, Nextcloud und ownCloud, MediaWiki und DokuWiki, aber auch selbst entwickelte Webseiten und Anwendungen in Docker-Containern. Das PHP-Projekt veröffentlichte am 21. Oktober um 15:45 Uhr aktualisierte, korrigierte Versionen. In den Repositories der Linux-Distributionen und in Container-Images können die Updates allerdings mit Verzögerung auftauchen.

Bis zur Installation sollen betroffene Systeme möglichst sofort offline genommen oder in ihrer Erreichbarkeit eingeschränkt werden. Verfügbare Workarounds und Mitigations wirken nur gegen bestimmte Exploits, schließen die Schwachstellen nicht vollständig und können umgangen werden. Als ausreichend, um eine öffentlich erreichbare PHP-Anwendung zu betreiben, gelten sie daher nicht.

Von WordPress bis zum Bürgerportal

Die Reichweite ist beträchtlich. PHP steckt in Blogs, Nachrichtenportalen, Onlineshops und Content-Management-Systemen wie WordPress, Moodle, Joomla!, Typo3 und Drupal. Mit WordPress werden laut Experten weltweit etwa 400 bis 500 Millionen Webseiten betrieben. Das IT-Sicherheitsunternehmen Huntress, das PHP-Sicherheitsteam und das Bundesamt für Sicherheit in der Informationstechnik warnten vor der Lücke.

Das BSI stufte die Lage mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein und forderte unverzügliche Gegenmaßnahmen. Von den Schwachstellen gehe ein herausragendes Bedrohungspotenzial aus, erklärte die Behörde; Betreiber sollten ihre Server im Zweifel vollständig vom Netz nehmen. Mehrere Kommunen, Behörden, Universitäten und Krankenhäuser schalteten Online-Angebote vorsorglich ab.

In Mainz deaktivierte die Stadt mehrere städtische Internetdienste, darunter das Portal mainz.de. Ämter und Bürgerbüros blieben dort telefonisch und per E-Mail erreichbar, bereits vereinbarte Termine fanden weiterhin statt. Abgeschaltet wurde der externe Webauftritt, damit die kommunale Datenverarbeitung geschützt blieb.

Betreiber von Webseiten, Onlineshops und digitalen Plattformen sollen unverzüglich ihre Systemadministratoren, IT-Dienstleister oder Hosting-Anbieter kontaktieren. Sicherheitsupdates für PHP und die eingesetzten Content-Management-Systeme sollen umgehend installiert werden. Nicht mehr unterstützte PHP-Versionen müssen isoliert oder aktualisiert werden. PHP-Entwickler und Hosting-Anbieter arbeiten an der Behebung der Schwachstellen.

Was Nutzerinnen und Nutzer wissen sollten

Für normale Internetnutzer besteht beim Surfen kein unmittelbarer Handlungsbedarf, weil die Schwachstelle Server und nicht deren Endgeräte betrifft. Indirekte Folgen sind trotzdem möglich: Onlinedienste können ausfallen, und auf ungeschützten Webseiten können Daten abfließen. Heise Security warnte, funktionsfähige Exploits könnten innerhalb von Stunden oder spätestens binnen eines Tages verfügbar sein. Wer eine Kompromittierung ausschließen wolle, müsse den PHP-Webserver vom Netz trennen.

Das PHP-Projekt hatte für Mittwochnachmittag um 16 Uhr einen Sicherheitspatch angekündigt. Der Blog des RUS-CERT wurde im Tagesverlauf mehrfach erweitert: Um 09:00 Uhr wurde die Seite erstellt, um 11:00 Uhr kamen Informationen zu Bewertung, betroffenen Versionen, Empfehlungen und Links hinzu. Um 14:05 Uhr folgten Angaben zu Exploits und Gegenmaßnahmen sowie aktualisierte Empfehlungen. Um 15:45 Uhr wurden die verfügbaren Patches und die Bewertung anhand von BSI-Informationen ergänzt, um 16:15 Uhr Links zu Advisories und um 16:45 Uhr Beispiele für gängige PHP-Anwendungen. Um 17:30 Uhr kam noch der Link zur BSI-Warnmeldung dazu.

Die Warnungen fallen zudem in eine angespannte Sicherheitslage. Laut Bitkom richten ausländische Geheimdienste ihren Blick zunehmend auf die deutsche Wirtschaft; viele Angriffe werden China und Russland zugeordnet. Die ZDFheute-Berichterstattung stützte sich auf dpa und erschien am 21. Oktober 2026 ab 17:00 Uhr.