An der Uni Mainz dürfte der Blick heute nicht nur in Skripte und Forschungsdatenbanken gehen. Zwei kritische Sicherheitslücken in der weltweit verbreiteten Programmiersprache PHP bedrohen Webanwendungen rund um den Globus. Angreifer könnten Server kontrollieren, Webseiten übernehmen oder sensible Kundendaten abgreifen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor möglichen weltweiten Angriffskampagnen gegen Webanwendungen. Verschiedene Kommunen, Behörden, Universitäten und Krankenhäuser nahmen ihre Online-Angebote vorsorglich vom Netz. Auch die Landeshauptstadt Mainz schaltete nach der Warnung mehrere städtische Internetdienste sowie das zentrale Portal mainz.de vorübergehend ab.

Webseiten zeitweise offline

Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen ist die Lage deshalb dringend. IT-Experten rieten ihnen, ihre zuständigen Systemadministratoren zu kontaktieren. Die PHP-Entwickler kündigten für den Nachmittag des 21. Oktober 2026 eine überarbeitete Version an. Das Update soll unmittelbar nach der Veröffentlichung installiert werden.

PHP wird weltweit zur Erstellung von Websites und Webanwendungen eingesetzt. Für normale Internetnutzer besteht beim alltäglichen Surfen kein unmittelbarer Handlungsbedarf. Indirekte Folgen sind aber möglich: Onlinedienste könnten ausfallen, außerdem drohen Datenabflüsse bei Webseiten, die nicht rechtzeitig geschützt werden. Die Nachricht wurde am 21. Oktober 2026 im Deutschlandfunk ausgestrahlt.

BSI rechnet mit Angriffen kurz nach dem Update

Das BSI teilte am 21. Oktober 2026 aus Bonn mit, dass kritische Schwachstellen in PHP derzeit weltweit Webanwendungen gefährden. Nach aktuellen Informationen sind alle bekannten PHP-Versionen mindestens zurück bis PHP 5 betroffen. Es kann nicht ausgeschlossen werden, dass Angreifer aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

BSI-Vizepräsident Thomas Caspers hält eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Updates für wahrscheinlich. Angreifer könnten die Schwachstellen mithilfe KI-gestützter Werkzeuge schnell analysieren und passende Exploits entwickeln. Das klingt trocken, ist für die Menschen hinter den Servern aber eine ziemlich unangenehme Uhr auf dem Tisch.

Die Sicherheitsupdates der PHP-Entwickler werden am 21. Oktober 2026 um 16 Uhr deutscher Zeit erwartet. Für verschiedene PHP-Versionen sollen Patches bereitgestellt werden. Organisationen sollen personelle Ressourcen vorbereiten, damit sie unmittelbar reagieren können. IT-Sicherheitsverantwortliche und Betreiber sollen die Patches nach der Veröffentlichung umgehend auf PHP-Webservern installieren und den Patchstatus anhand des zugehörigen Advisories überprüfen.

Aufmerksam bleiben auf exponierten Servern

Das BSI empfiehlt außerdem, exponierte PHP-Webserver verstärkt auf Auffälligkeiten zu überwachen. PHP ist ein zentraler, weltweit eingesetzter Bestandteil von Webanwendungen; die Schwachstellen könnten großflächige Angriffskampagnen und die Kompromittierung von IT-Systemen in verschiedenen Bereichen ermöglichen.

Für die Uni Mainz heißt das vor allem: Zuständigkeiten klären, Updates bereithalten und bei verdächtigen Vorgängen genauer hinsehen. Während Studierende vermutlich weiter ihre Mails abrufen oder in der Bibliothek sitzen, können hinter den Kulissen schon die ersten Administrationsfenster aufgehen. Wenn mainz.de oder andere Online-Angebote vorübergehend nicht erreichbar sind, steckt dahinter also nicht zwingend eine Panne, sondern möglicherweise Vorsicht.

Quellen: Deutschlandfunk und Bundesamt für Sicherheit in der Informationstechnik.