Wer am 21. Oktober 2026 an der Heinrich-Heine-Universität Düsseldorf schnell noch einen Termin buchen oder eine städtische Online-Anwendung öffnen wollte, konnte vor einer leeren Seite sitzen. Kritische Sicherheitslücken in PHP, einer weltweit verbreiteten Grundlage vieler Webanwendungen, haben vorsorglich mehrere Internetauftritte vom Netz genommen – darunter die Website der Stadt Düsseldorf sowie die Seiten der HHU und des Universitätsklinikums Düsseldorf.

Bei der Stadt waren dadurch Online-Services für Bürgerinnen und Bürger vorübergehend nicht verfügbar, etwa die Terminbuchung im Bürgerbüro. Betreiber der städtischen Webanwendungen ist die ITK Rheinland, die die Sicherheitsmaßnahme für alle angeschlossenen Städte plante. Die Stadt Düsseldorf wurde kurzfristig informiert; laut Stadtsprecher lag die Entscheidung nicht bei der Stadtverwaltung. Für die internen Arbeitsabläufe der Verwaltung hatte der Ausfall zunächst keine Folgen.

Websites offline, Betrieb läuft weiter

Auch die Internetauftritte von HHU und UKD waren am Mittwochnachmittag nicht erreichbar. Die Verwaltung der Universität blieb nach eigenen Angaben arbeitsfähig, interne Zugänge auf dem Campus waren voraussichtlich weiterhin möglich. Beim Universitätsklinikum wurden bestimmte externe Zugriffe vorsorglich eingeschränkt. Für Patientinnen und Patienten änderte sich die Lage zunächst nicht: Die Versorgung war gewährleistet, Ausfälle oder Störungen waren nicht bekannt.

Die Einrichtungen spielten Sicherheitsupdates der Entwickler ein. Am Mittwochabend war die Website des UKD wieder erreichbar und normal nutzbar. Auch die Online-Auftritte von Düsseldorf und der HHU sollten nach Behebung der Sicherheitsprobleme wieder freigeschaltet werden. Die Stadt erwartete, dass das Problem spätestens am folgenden Morgen behoben sein sollte.

Zwei Lücken mit hohem Risiko

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte gewarnt, dass alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen seien. Konkret geht es um CVE-2026-109618 und CVE-2026-109619. Beide Schwachstellen erhielten nach CVSS 4.0 die Bewertung 9,2 von 10. Angreifer könnten aus der Ferne eigenen Schadcode auf Webservern mit PHP-Anwendungen ausführen – ohne Authentifizierung und ohne erforderliche Nutzerinteraktion.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

In aktuellen Berichten taucht dafür wegen der vermuteten Tragweite und der Ähnlichkeit zu „Log4Shell“ auch der Name „PHP2Shell“ auf. Zum Zeitpunkt der Vorankündigung waren keine bestätigten Ausnutzungen bekannt, allerdings gab es unbestätigte Berichte über vorhandene Exploits. Der Sicherheitsanbieter Patchstack meldete zudem erste Angriffe auf PHP-Systeme; mehrere Hosting-Unternehmen hätten entsprechende Meldungen am Morgen des 21. Oktober 2026 erhalten.

PHP steckt nicht nur in einzelnen Hochschulseiten. Die Programmiersprache wird für serverseitige Webanwendungen eingesetzt, etwa in WordPress, Drupal und Joomla, in Onlineshops, individuell entwickelten Unternehmensanwendungen, Kunden- und Serviceportalen, internen Verwaltungsoberflächen sowie webbasierten Datenbankanwendungen. Eine Lücke in der PHP-Laufzeitumgebung kann deshalb viele Systeme treffen, selbst wenn die jeweilige Anwendung keinen eigenen Programmierfehler enthält.

Updates sollten sofort installiert werden

Die PHP-Entwickler hatten für den 21. Oktober 2026 ab 16 Uhr deutscher Zeit, also 14:00 UTC, Details und Patches zu den beiden Schwachstellen angekündigt. Die Entwickler empfahlen, den Patch unmittelbar nach der Veröffentlichung zu installieren. Am 21. Oktober wurden für verschiedene PHP-Versionen Patches bereitgestellt und weitere Einzelheiten veröffentlicht. Informationen dazu finden sich unter anderem in den GitHub-Advisories zu den beiden CVEs sowie in Blogartikeln von Wiz.io und Calif.io. Wiz.io und Calif.io waren gemeinsam mit OpenAI an der Entdeckung der Schwachstellen beteiligt.

Das BSI bezeichnet PHP als weltweit verbreiteten und zentralen Bestandteil von Webanwendungen. BSI-Vizepräsident Thomas Caspers forderte unverzügliches Handeln. Auch Bitkom verlangte sofortige Sicherheitsmaßnahmen und verwies auf die enorme Verbreitung von PHP auf Webservern.

Nach Einschätzung von CERT-EU könnten alle PHP-Versionen ab Version 5 betroffen sein. Welche Versionen tatsächlich verwundbar sind, sollte mit den Sicherheitsupdates bekannt werden. Gleichzeitig warnte das BSI, dass die Lücken für umfangreiche Angriffskampagnen und zur Kompromittierung von IT-Systemen in unterschiedlichen Bereichen genutzt werden könnten. Je nach Systemkonfiguration und Berechtigungen wären etwa das Auslesen vertraulicher Informationen, die Manipulation von Anwendungen oder die Vorbereitung weiterer Angriffe auf verbundene IT-Systeme möglich.

Warum das Zeitfenster so knapp ist

Das BSI erwartete, dass die Schwachstellen innerhalb kurzer Zeit ausgenutzt werden könnten. Nach Veröffentlichung der Updates können Angreifer aus den Änderungen Rückschlüsse auf die zugrunde liegenden Programmierfehler ziehen. Eine großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Patches hält das BSI für wahrscheinlich; KI-gestützte Werkzeuge könnten die Analyse der Änderungen und die Entwicklung von Exploits zusätzlich beschleunigen.

CERT-EU und das RUS-CERT der Universität Stuttgart empfehlen deshalb, gefährdete Dienste bis zur Installation der Updates vorübergehend offline zu nehmen oder ihre Erreichbarkeit einzuschränken. Genau diesen Weg gingen Stadt, HHU und UKD zunächst. Das PHP-Entwicklerteam stellt die Sicherheitsupdates über GitHub bereit. Administratoren sollen abgesicherte PHP-Versionen unmittelbar nach deren Veröffentlichung installieren und anschließend prüfen, ob die Schwachstellen tatsächlich geschlossen sind.

Welcher Weg für das Update gilt, hängt von der jeweiligen Umgebung ab: Patches können über die PHP-Entwickler, Betriebssystemdistributionen, Hosting-Anbieter oder Softwarehersteller kommen. Betreiber älterer PHP-Installationen ohne reguläre Sicherheitsupdates müssen klären, ob ihr Anbieter weiterhin Patches bereitstellt. Falls nicht, bleiben die Migration auf eine unterstützte PHP-Version oder eine vorübergehende Abschottung der Anwendung.

Unternehmen sollten ihre PHP-basierten Systeme außerdem auf verdächtige Aktivitäten untersuchen. Auffällig wären ungewöhnliche Zugriffe, unerwartet gestartete Prozesse oder nicht autorisierte Änderungen an Dateien. Während auf dem Campus in Düsseldorf die internen Zugänge voraussichtlich weiterliefen, blieb der öffentliche Zugang vorerst lieber zu – manchmal ist eine abgeschaltete Website tatsächlich die ruhigere Variante.