Wer am Mittwoch, dem 21. Oktober 2026, die Internetseite der Stadt Merseburg aufrufen wollte, bekam statt Verwaltungsinformationen Sicherheitswarnungen zu sehen. Die Stadt hat ihr Internetangebot seit dem Nachmittag größtenteils abgeschaltet.

Oberbürgermeister Sebastian Müller-Bahr (CDU) erklärte, die Maßnahme sei auf Empfehlung des kommunalen IT-Dienstleisters erfolgt. Auslöser war eine Sicherheitswarnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) vor einer möglichen Sicherheitslücke und Hackerangriffen. Auch andere Kommunen, die Hochschule Merseburg und weitere Einrichtungen reagierten.

PHP-Lücke setzt Behörden unter Druck

Am selben Tag nahmen mehrere bayerische Behörden ihre Webseiten vorsorglich vom Netz. Betroffen waren unter anderem die Polizei und weitere Behörden, Universitäten, Krankenhäuser wie das Klinikum Nürnberg sowie die Technische Universität München. Auf den abgeschalteten Seiten wurde auf Sicherheitsgründe und die vorübergehende Nichtverfügbarkeit hingewiesen.

Hinter der Warnung steckt eine neu entdeckte, schwerwiegende Sicherheitslücke in der Programmiersprache PHP. Das BSI stufte das Risiko mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Die Schwachstellen hätten ein herausragendes Bedrohungspotenzial, teilte die Behörde mit.

Unter der Bezeichnung „PHP2Shell“ warnen Sicherheitsexperten vor zwei kritischen Schwachstellen im Kern der PHP-Software. PHP läuft weltweit auf zahlreichen Angeboten – von Blogs und Onlineshops bis zu großen Nachrichtenportalen. Allein mit WordPress werden Experten zufolge weltweit zwischen 400 und 500 Millionen Webseiten betrieben.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Updates sollen schnell installiert werden

Sicherheitsupdates sollten ab 16 Uhr deutscher Zeit bereitgestellt und unverzüglich installiert werden. Unternehmen und Betreiber von Internetangeboten sollten dafür Personal bereithalten. Falls eine sofortige Aktualisierung nicht möglich war, empfahl das BSI, Webseiten vorsorglich offline zu nehmen. Genau dieser Schritt erklärt die Warnhinweise auf merseburg.de und die Ausfälle anderer Angebote.

Das bayerische Innenministerium bestätigte, dass der eigene Internetauftritt auf Empfehlung von BSI und Landesamt für Sicherheit in der Informationstechnik (LSI) vom Netz genommen wurde. Die Updates liefen bereits; anschließend sollten die Webseiten wieder online gehen. Eine Sprecherin rechnete mit einer Unterbrechung von etwa einer Stunde.

Für normale Internetnutzer besteht beim Surfen auf dem Smartphone oder PC kein unmittelbarer Handlungsbedarf. Die Schwachstelle liegt auf Servern, nicht auf den Endgeräten. Spürbar werden kann die Sache trotzdem: durch Ausfälle wichtiger Onlinedienste oder mögliche Datenabflüsse von Webseiten, die nicht rechtzeitig geschützt wurden.

Angriffe könnten automatisiert werden

Angreifer könnten die Lücken ohne Anmeldung aus der Ferne ausnutzen und eigenen Schadcode auf betroffenen Servern ausführen. Damit ließen sich Webseiten praktisch übernehmen, sensible Daten aus Datenbanken abgreifen oder Serverinfrastrukturen für weitere Cyberattacken missbrauchen.

Brisant ist, dass detaillierte Informationen über die Schwachstelle offenbar unbeabsichtigt an die Öffentlichkeit gelangten, während noch an Gegenmaßnahmen gearbeitet wurde. Die globale IT-Branche steht dadurch unter erheblichem Zeitdruck. Branchenexperten befürchten automatisierte Angriffe auf ungepatchte Server.

Dane Knecht, Technologiechef von Cloudflare, schrieb auf X, erste Angreifer hätten die Schwachstellen bereits ausgenutzt. Lukasz Olejnik, Cybersicherheitsexperte vom King’s College London, warnte zudem, Kriminelle könnten mithilfe Künstlicher Intelligenz weltweit Millionen Rechner angreifen. Dafür müssten sie das Internet nach Systemen mit veralteten PHP-Versionen durchsuchen.

Besonders gefährdet seien Webseiten von Einzelpersonen und kleinen Organisationen mit begrenzten technischen Ressourcen. Dort fehlt oft schlicht die Zeit – oder jemand, der im richtigen Moment die richtige Warnung liest. In Merseburg, an der Hochschule und bei den betroffenen bayerischen Einrichtungen fiel die Entscheidung deshalb erst einmal nüchtern aus: lieber kurz offline als offen für einen Angriff.

Standort dieses Berichts ist die Uni Halle. Am 23. Oktober 2026 sind die Folgen der Warnung vielerorts noch sichtbar: leere Seiten, Sicherheitsmeldungen und Nutzer, die kurz innehalten, bevor sie es später noch einmal versuchen.