An der Universität Erfurt kann es heute, am 22.10.2026, zu weitreichenden Ausfällen bei den IT-Diensten kommen. Aus Sicherheitsgründen müssen möglicherweise mehrere Systeme vollständig abgeschaltet werden. Für Studierende und Beschäftigte heißt das: Manche digitalen Wege sind plötzlich versperrt, andere funktionieren nur eingeschränkt.

Betroffen sein können unter anderem Cloud.uni-erfurt.de, die Mailsysteme OWA und Webmail.uni-erfurt.de, die Online-Einschreibung, Mobility.uni-erfurt.de, Raumbuchung.uni-erfurt.de, die Platzreservierung der Universitätsbibliothek, Docata.uni-erfurt.de, das Ticketsystem sowie die Startseite im Browser. Auch im EDU-VPN gibt es Einschränkungen: Neue Aktivierungen der EDU-VPN-Verbindung sind derzeit nicht möglich.

Warum die Universität Dienste abschalten muss

Hinter den Störungen stehen zwei derzeit bekannte Sicherheitslücken in PHP. Die Programmiersprache bildet die Grundlage für zahlreiche Internetseiten und Online-Anwendungen. Eingesetzt wird sie unter anderem von WordPress, Drupal, TYPO3, Joomla, Magento, Nextcloud, pfSense und OPNsense. Weil PHP in sehr vielen Web-Diensten steckt, lässt sich derzeit nicht einmal vollständig sagen, welche Systeme an der Universität betroffen sein könnten.

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, warnt vor einer schnellen Ausnutzung der Lücken. Zwar wurde bislang kein Angriff beobachtet, der die Schwachstellen verwendet. Das BSI hält es aber für wahrscheinlich, dass Angriffe bereits wenige Stunden nach der Veröffentlichung der Sicherheitsupdates beginnen könnten. Mit KI-Werkzeugen können Angreifer laut Behörde rasch herausfinden, welche Lücke ein Update schließt, und daraus ein Angriffsprogramm entwickeln.

Die Sicherheitsupdates der PHP-Entwickler wurden für den 21. Oktober 2026 um 16:00 Uhr deutscher Zeit erwartet. Nach bisherigen Informationen sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen. Es kann nicht ausgeschlossen werden, dass Angreifer aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Eine solche Ausnutzung könnte groß angelegte Angriffskampagnen und die Kompromittierung von IT-Systemen in unterschiedlichen Bereichen ermöglichen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Die Entwickler wollten Patches für verschiedene PHP-Versionen bereitstellen. IT-Sicherheitsverantwortliche und Betreiber sollten dafür personelle Ressourcen bereithalten, die Patches unmittelbar nach 16 Uhr auf PHP-Webservern installieren, den Patchstatus anhand des zugehörigen Advisories überprüfen und exponierte PHP-Webserver verstärkt auf Auffälligkeiten überwachen.

„PHP2Shell“ und ein Wettlauf gegen automatisierte Angriffe

Unter dem Namen „PHP2Shell“ wurden die beiden kritischen Schwachstellen CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Sie ermöglichen es Angreifern, ohne Anmeldung aus der Ferne Schadcode auf betroffenen Servern auszuführen. Im schlimmsten Fall könnten Webseiten vollständig übernommen, Datenbanken und Kundendaten ausgelesen oder Server für weitere Cyberangriffe missbraucht werden.

Das Risiko stufte das BSI mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein und forderte unverzügliche Gegenmaßnahmen. Die Behörde wies auf ein herausragendes Bedrohungspotenzial hin und empfahl Betreibern, Server im Zweifel vollständig vom Netz zu nehmen. Weil detaillierte Informationen zu den Schwachstellen unbeabsichtigt vorab veröffentlicht wurden, wird mit einem schnellen Auftauchen automatisierter Angriffsskripte gerechnet. Heise Security warnte, funktionierende Exploits könnten innerhalb weniger Stunden oder spätestens eines Tages erscheinen.

Betroffen sein können Blogs, Nachrichtenportale, Onlineshops und Content-Management-Systeme wie WordPress, Moodle, Joomla!, Typo3 und Drupal. Über WordPress werden laut Expertenschätzungen weltweit 400 bis 500 Millionen Webseiten betrieben. Das macht die Sache nicht gerade kleiner. Gewarnt haben das IT-Sicherheitsunternehmen Huntress, das PHP-Sicherheitsteam und das BSI; PHP-Entwickler und Hosting-Anbieter arbeiten an der Behebung der Sicherheitslücken.

Auch Kommunen, Behörden und Hochschulen reagieren

Mehrere Kommunen, Behörden, Universitäten und Krankenhäuser schalteten ihre Online-Angebote vorsorglich ab. Die Stadt Mainz deaktivierte mehrere städtische Internetdienste sowie das Portal mainz.de. Ämter und Bürgerbüros blieben telefonisch und per E-Mail erreichbar, vereinbarte Termine fanden weiterhin statt. Die Abschaltung betraf ausschließlich den externen Webauftritt und sollte die kommunale Datenverarbeitung schützen.

Für Betreiber von PHP-basierten Webseiten, Onlineshops und Unternehmensplattformen ist der Rat klar: unverzüglich IT-Administratoren, Dienstleister oder Hosting-Anbieter kontaktieren, Sicherheitsupdates für PHP und die eingesetzten Content-Management-Systeme sofort installieren und nicht mehr unterstützte PHP-Versionen isolieren oder umgehend aktualisieren. Als sicherste Maßnahme gegen eine Kompromittierung gilt die Trennung der PHP-Webserver vom Internet.

Normale Nutzer müssen beim Surfen mit Smartphone oder PC nicht unmittelbar handeln, denn die Lücke betrifft Server und nicht Endgeräte. Indirekte Folgen sind trotzdem möglich: Onlinedienste könnten ausfallen, bei ungeschützten Webseiten könnten Daten abfließen. Laut Bitkom richten ausländische Geheimdienste ihren Blick zunehmend auf die deutsche Wirtschaft; die meisten Angriffe werden China und Russland zugerechnet.

An der Universität Erfurt sind die zuständigen Mitarbeitenden informiert und arbeiten an der Behebung. Wann die Störungen vollständig behoben sein werden, ist derzeit nicht absehbar.