An der TU Chemnitz ist der digitale Alltag am 22.10.2026 vorsichtshalber etwas holpriger. Eine weltweit aufgetretene, kritische Sicherheitslücke in der weit verbreiteten Programmiersprache PHP hat Kommunen, Hochschulen und andere öffentliche Einrichtungen zu schnellen Schutzmaßnahmen gezwungen. Auch die TU Chemnitz schränkte ihre Onlineangebote vorübergehend ein.

In Sachsen wurden die offiziellen Internetauftritte von Plauen, Freiberg, Oelsnitz und Dresden zeitweise abgeschaltet. Damit waren digitale Dienstleistungen teilweise nicht erreichbar, darunter Online-Anträge auf Wohngeld. Auch die TU Freiberg reduzierte ihr Onlineangebot vorsorglich. Für viele Nutzer bedeutet das vor allem eines: warten, neu laden, später noch einmal probieren.

Angriffe ohne Anmeldung möglich

Unter dem Namen „PHP2Shell“ sind zwei kritische Schwachstellen bekannt geworden: CVE-2026-109618 und CVE-2026-109619. Nach den CVSS-4.0-Bewertungen erreichen beide 9,2 von 10 Punkten. Angreifer könnten ohne vorherige Anmeldung und ohne Mitwirkung von Nutzern aus der Ferne eigenen Schadcode auf betroffenen Webservern ausführen – eine sogenannte „Remote Code Execution“.

Die möglichen Folgen reichen von der vollständigen Übernahme einer Website bis zum Zugriff auf sensible Datenbanken und Kundendaten. Außerdem könnten Angreifer die betroffene Infrastruktur für weitere Cyberangriffe missbrauchen. Heise Security warnte, funktionierende Schadprogramme könnten innerhalb von Stunden, spätestens innerhalb eines Tages verfügbar sein.

PHP steckt in zahlreichen Internetanwendungen: in Blogs, Nachrichtenportalen, Onlineshops und Content-Management-Systemen. Die PHP-basierte Anwendung WordPress betreibt schätzungsweise 400 bis 500 Millionen Webseiten weltweit. Weitere verbreitete Systeme sind Moodle, Joomla! und Typo3. Fällt dort etwas aus, merkt man das nicht nur im Maschinenraum, sondern direkt im Browser.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

BSI setzt Warnstufe auf „3 / Orange“

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, veröffentlichte eine Cybersicherheitswarnung und stufte das Risiko unter dem Aktenzeichen BITS-H Nr. 2026-297981-1032 mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Laut BSI müssen unverzüglich Gegenmaßnahmen ergriffen werden, weil eine massive Beeinträchtigung des Regelbetriebs droht und ein herausragendes Bedrohungspotenzial besteht.

PHP-Entwickler hatten für den 21. Oktober 2026 ab 16 Uhr deutscher Zeit, also 14:00 UTC, Details und Patches zu den beiden Schwachstellen angekündigt. Am 21. Oktober 2026 wurden dann Patches für verschiedene PHP-Versionen bereitgestellt. Ergänzende Informationen veröffentlichten die Entwickler unter anderem in GitHub-Advisories zu den beiden CVEs sowie in Blogartikeln von Wiz.io und Calif.io. An der Entdeckung waren Wiz.io und Calif.io gemeinsam mit OpenAI beteiligt.

Zum Zeitpunkt der Vorankündigung waren keine bestätigten Ausnutzungen bekannt. Es gab allerdings unbestätigte Berichte über bereits existierende Exploits. Wegen der vermuteten Ähnlichkeit zu „Log4Shell“ werden die Lücken in Berichten als „PHP2Shell“ bezeichnet. Der Name klingt fast nach Science-Fiction, die Konsequenzen wären für Betreiber aber ziemlich handfest.

Server vorübergehend vom Netz nehmen

Das BSI empfiehlt Serverbetreibern, verfügbare Sicherheitsupdates unverzüglich zu installieren oder die Systeme vorübergehend vom Internet zu trennen. Internetangebote sollen im Zweifel vollständig vom Netz genommen und anschließend aktualisiert werden. Betreiber sollten PHP-Server bis zur Installation des Updates isolieren. Nicht mehr offiziell unterstützte ältere PHP-Versionen gelten als unkalkulierbares Risiko und sollten ebenfalls isoliert oder umgehend aktualisiert werden.

Viele Betreiber kündigten die sofortige Installation der Sicherheitsupdates an, darunter Wikipedia. PHP-Entwickler und Hosting-Anbieter weltweit arbeiten an der Behebung der Schwachstellen. Mehrere Onlineangebote von Universitäten, Stadtverwaltungen und Kliniken wurden vorsorglich abgeschaltet – in Sachsen eben auch die Seiten von Kommunen und Hochschulen.

Für normale Nutzer gibt es auf dem eigenen Smartphone oder PC keinen direkten Handlungsbedarf, weil die Schwachstelle auf Servern und nicht auf Endgeräten liegt. Ganz spurlos muss die Sache trotzdem nicht bleiben: Ausfälle wichtiger Onlinedienste sind möglich, ebenso Datenabflüsse bei unzureichend geschützten Webseiten. Wer gerade einen Wohngeldantrag online stellen wollte, braucht also unter Umständen ein wenig Geduld.