Am Mittwoch, dem 21. Oktober 2026, war die digitale Tür bei vielen öffentlichen Einrichtungen plötzlich zu. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte eine offizielle Warnung vor einer kritischen Sicherheitslücke in PHP veröffentlicht und das Bedrohungspotenzial als sehr hoch eingestuft. Universitäten, Stadtverwaltungen, Kliniken und andere Einrichtungen nahmen ihre Webseiten vorsorglich vom Netz – darunter auch die Internetauftritte von Mainz und Saarbrücken.

In Stuttgart dauerte der Schrecken auf der städtischen Homepage www.stuttgart.de allerdings nur etwa zehn Minuten. Die Stadt sprach von einer Vorsichtsmaßnahme auf Anraten von Sicherheitsexperten und des BSI; die Lücke sei umgehend behoben worden. Warum die Webseite nicht länger offline blieb, erklärte die Pressestelle nicht.

Stuttgart war kurz weg, Ilias länger

Mehr Geduld brauchten Nutzerinnen und Nutzer des Verkehrs- und Tarifverbunds Stuttgart (VVS). Dessen Webauftritt war ab Mittwoch mehrere Stunden nicht erreichbar. Am Donnerstagmittag ging die Seite mit den wichtigsten Bestandteilen und Anwendungen wieder online, kleinere Anwendungen sollten später folgen. Die VVS-App und die Online-Fahrplanauskunft liefen während des gesamten Vorfalls weiter.

Der Webauftritt der Universität Stuttgart war nicht betroffen, weil er nicht auf PHP basiert. Anders sah es bei der PHP-basierten Lernplattform Ilias aus: Sie wurde bereits am Mittwochmorgen vorsorglich abgeschaltet und war nach der Installation der Sicherheitsupdates seit Donnerstagmorgen wieder online. Für Studierende bedeutete das zumindest eine kurze digitale Zwangspause – nicht gerade ideal, wenn Unterlagen oder Abgaben auf der Plattform liegen.

Was hinter „PHP2Shell“ steckt

PHP ist eine weitverbreitete Grundlage für Blogs, Nachrichtenportale, Onlineshops und Content-Management-Systeme. Dazu gehören WordPress, Joomla! und Typo3, außerdem das Lernmanagementsystem Moodle. Über die PHP-basierte Anwendung WordPress werden schätzungsweise 400 bis 500 Millionen Webseiten betrieben.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Unter dem Namen „PHP2Shell“ wurden zwei kritische Schwachstellen registriert: CVE-2026-109618 und CVE-2026-109619. Das BSI führte sie unter dem Aktenzeichen BITS-H Nr. 2026-297981-1032 und vergab die Warnstufe „3 / Orange“. Das heißt: Sofortige Gegenmaßnahmen sind erforderlich, weil eine erhebliche Beeinträchtigung des regulären Betriebs drohen kann.

Angreifer können die Lücken ohne Anmeldung aus der Ferne ausnutzen und eigenen Schadcode auf betroffenen Servern ausführen. Damit könnten sie die vollständige Kontrolle über Webseiten übernehmen, dahinterliegende Datenbanken und Kundendaten auslesen oder die betroffene Infrastruktur für weitere Cyberangriffe missbrauchen. Heise Security warnte, funktionsfähige Schadprogramme könnten innerhalb weniger Stunden oder spätestens eines Tages verfügbar sein.

Die PHP-Entwickler stellten am Mittwoch um 16 Uhr aktualisierte Versionen bereit, in denen die Lücken geschlossen wurden. Webseitenbetreiber sollen ihre eingesetzte PHP-Version prüfen und die Notfall-Updates installieren. Große Hoster wie Ionos haben PHP-Versionen teilweise bereits automatisch aktualisiert – davon profitieren Webseiten, bei denen automatische Sicherheitsupdates aktiviert sind. Veraltete PHP-Versionen ohne offiziellen Support müssen isoliert oder abgeschaltet werden.

Angriffe liefen weltweit an

Cloudflare-Chef Matthew Prince berichtete von einer stark zunehmenden Welle automatisierter Angriffe. Kurz nach Bekanntwerden der Schwachstelle begannen Angreifer weltweit mit Scans nach ungeschützten Servern. Die Zugriffsversuche stiegen innerhalb weniger Stunden exponentiell; inzwischen wurden weltweit Millionen Ausnutzungsversuche registriert. Automatisierte Angriffe auf ungeschützte Server haben begonnen und dürften über Wochen oder Monate andauern.

Für normale Nutzer besteht beim Surfen kein direkter Handlungsbedarf, denn die Lücke liegt auf Servern und nicht auf Smartphones oder PCs. Indirekt kann es trotzdem unangenehm werden: durch Ausfälle von Onlinediensten, Datenabflüsse von ungeschützten Webseiten oder den Verlust von Passwörtern, Kontaktdaten und anderen Kundendaten. Über eine betroffene Webseite könnten Angreifer Zugriff auf dahinterliegende Datenbanken erlangen.

Der Vorsitzende des Parlamentarischen Kontrollgremiums, Marc Henrichmann, bezeichnete die Lücke als eine der ernstesten der vergangenen Jahre. Digitalminister Karsten Wildberger teilte mit, bislang seien keine IT-Systeme des Bundes geschädigt worden. Es gebe keinen Hinweis auf eine Betroffenheit von Webseiten oder Infrastruktur des Bundes.

Entwarnung ist erst zu erwarten, wenn die meisten Webhoster und Systemadministratoren die Updates installiert haben. Bis dahin bleibt bei vielen Verantwortlichen wohl der Blick auf Serverprotokolle und Statusseiten – und bei manchen Nutzern die Frage, warum die eigene Lieblingsseite schon wieder nicht lädt.

Wie das BSI solche Warnungen einordnet

Das BSI informiert mit BSI-IT-Sicherheitsmitteilungen, kurz BITS, über Maßnahmen von Herstellern zu schwerwiegenden oder ausgenutzten Schwachstellen in besonders kritischen IT-Produkten, über neue, herausragende Bedrohungen, Angriffsvektoren und Angriffstechniken sowie über Cybersicherheitsvorfälle mit Auswirkungen auf Dritte. Weitere Informationen zu BITS enthält die BSI-Management-Information.

Veröffentlicht werden öffentliche BSI-IT-Sicherheitsmitteilungen und eine Übersicht aller Sicherheitsmitteilungen. Zusätzlich gibt es vertrauliche BITS für bestimmte Zielgruppen, die nach dem Traffic Light Protocol eingestuft sind. Mitglieder und Teilnehmer bestimmter Kooperationsplattformen können vertrauliche Warnungen per Newsletter abonnieren – etwa im Verwaltungs-CERT-Verbund (VCV), dem Zusammenschluss der CERTs der deutschen öffentlichen Verwaltung, bei UP KRITIS, der öffentlich-privaten Kooperation von Betreibern Kritischer Infrastrukturen, deren Verbänden und zuständigen staatlichen Stellen, oder in der Allianz für Cyber-Sicherheit (ACS). Sie bringt Unternehmen, Vereine, Verbände, Forschungseinrichtungen und andere Institutionen in Deutschland zur Stärkung der Cybersicherheit zusammen.

Die kurze BSI-Adresse für weitere Informationen lautet https://www.bsi.bund.de/dok/BITS. Die ausführliche Warnung steht beim BSI unter dieser Übersicht.