An der TU Chemnitz ist der Internetzugang derzeit nur eingeschränkt möglich. Hintergrund ist eine kritische Sicherheitslücke in der Programmiersprache PHP, die seit Mittwoch weltweit für Alarm sorgt. Auch in Südwestsachsen waren zahlreiche Internetseiten zeitweise nicht erreichbar – ein ziemlich ungemütlicher Moment für Hochschulen, Behörden, Unternehmen und alle, die gerade schnell etwas online erledigen wollten.

Die TU Chemnitz beschränkte vorsorglich den Zugriff auf wichtige IT-Dienste. Zunächst waren sie nur über das Campusnetz oder per VPN erreichbar. Auch die Westsächsische Hochschule Zwickau (WHZ) kappte am Mittwoch gegen 14 Uhr den externen Zugriff auf ihre Website. Laut WHZ-Sprecher Sascha Vogelsang war das eine reine Vorsichtsmaßnahme; IT-Techniker arbeiteten an Sicherheitsupdates. Innerhalb des Hochschulnetzwerks blieb die Homepage erreichbar.

Websites vorsichtshalber abgeschaltet

Behörden, Universitäten und Unternehmen nahmen Server und Webseiten vorsorglich vom Netz. Der Abfallentsorgungs- und Stadtreinigungsbetrieb Chemnitz (ASR) schaltete seine Website gegen 17 Uhr ab. Beim ASR seien weder Daten abgeflossen noch sei das System angegriffen worden. Die Website soll wieder online gehen, sobald die Sicherheitslücke geschlossen ist.

In Annaberg-Buchholz war die Homepage nur kurzzeitig wegen einer Störung nicht erreichbar. Hinweise auf einen Angriff auf städtische Systeme lagen dort laut Stadtsprecherin Annett Flämig nicht vor. Auch Kultureinrichtungen reagierten mit Abschaltungen oder Einschränkungen.

PHP wird weltweit auf bis zu 80 Prozent der Websites eingesetzt. Die Lücke konnte Angreifern den Zugriff auf ältere Systeme ermöglichen. Mögliche Folgen: Daten auslesen, herunterladen oder verändern. Betroffen sein konnten auch Onlineshops.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

„PHP2Shell“: Schadcode aus der Ferne

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und internationale IT-Sicherheitsexperten warnten vor einer akuten Gefahr. Unter dem Namen „PHP2Shell“ wurden zwei Schwachstellen registriert: CVE-2026-109618 und CVE-2026-109619. Sie ermöglichen es Angreifern, aus der Ferne eigenen Schadcode auf PHP-Servern auszuführen. Betroffene Systeme könnten dadurch vollständig übernommen werden.

Ungepatchte PHP-Versionen auf Webseiten, Bürgerportalen oder in Onlineshops könnten außerdem den Zugriff auf dahinterliegende Datenbanken öffnen. Kundendaten, Passwörter und Kontaktdaten wären dann möglicherweise einsehbar. Auch E-Mails sowie weitere auf einem Webserver gespeicherte Informationen könnten bei einem erfolgreichen Angriff offengelegt werden.

Besonders heikel: Angreifer könnten Schadcode auf Webseiten platzieren. Beim Besuch oder bei der Nutzung einer Seite könnte dieser auf weitere Systeme gelangen und sich schnell ausbreiten. Details der Sicherheitslücke gelangten vorzeitig unbeabsichtigt an die Öffentlichkeit – deshalb stufen Behörden die Lage als außerordentlichen Notfall ein.

Wie die Schwachstellen entdeckt wurden, ist bislang nicht genau bekannt. Es gibt Hinweise, dass Künstliche Intelligenz bei der Suche nach den lange unentdeckten Fehlern eine Rolle spielte. Die Kehrseite liegt auf der Hand: Auch Angreifer können KI verwenden, um ungeschützte PHP-Server automatisiert und in großem Umfang zu scannen und anzugreifen.

Banking bleibt getrennt

Für Nutzer von Onlineshops gibt es zunächst keine direkten Handlungsmöglichkeiten. Sie sollen die Entwicklung abwarten. Online-Banking-Anwendungen selbst sind laut dem zugrunde liegenden Bericht nicht von den PHP-Schwachstellen betroffen, weil sie mit anderen technischen Komponenten betrieben werden.

Webseiten von Banken und Sparkassen waren teilweise vorübergehend offline, wenn sie PHP einsetzen. Die Internetauftritte sind jedoch von den eigentlichen Banking-Anwendungen getrennt. Der Deutsche Sparkassen- und Giroverband erklärte, bislang keine Auswirkungen der PHP-Lücken auf das Online-Banking festgestellt zu haben.

Updates gegen eine Angriffswelle

Das Entwicklerteam stellte am Mittwoch Notfall-Updates bereit. Betreiber eigener Webseiten sollten automatische Updates aktivieren und regelmäßig prüfen, ob ihre Systeme aktuell sind. Das betrifft auch Router und Netzwerkspeicher, auf denen möglicherweise PHP eingesetzt wird.

Betreiber von Blogs, Vereinsseiten sowie Unternehmens- und Behördenwebseiten müssen die verwendete PHP-Version ihrer Serverumgebung prüfen. Große Webhoster wie Ionos haben PHP-Versionen in ihren Systemen bereits aktualisiert. Automatisch geschützt sind insbesondere Webseiten, bei denen automatische Sicherheitsupdates aktiviert sind.

Die automatisierte Angriffswelle hat begonnen und dürfte noch Wochen oder Monate andauern, weil weiterhin nach ungepatchten Systemen gesucht wird. Eine Entwarnung ist erst möglich, wenn die meisten Webhoster und Systemadministratoren die Sicherheitsupdates installiert haben. Systeme mit veralteten PHP-Versionen ohne offizielle Updates müssen isoliert oder sofort abgeschaltet werden, damit keine weiteren Angriffe möglich sind.

Der Bericht von ZDFheute erschien am 22. Oktober 2026; Quelle ist die dpa. Für den Hochschulalltag in Chemnitz heißt das vorerst: Wer auf einen Dienst der TU zugreifen muss, braucht Campusnetz oder VPN – und ein wenig Geduld.