Eine kritische PHP-Sicherheitslücke sorgt weltweit für Ausfälle zahlreicher Websites. Auch in Deutschland waren Behörden und öffentliche Einrichtungen betroffen. Was steckt dahinter, wie groß ist die Gefahr und was müssen Internetnutzer wissen?
Eine schwerwiegende PHP-Sicherheitslücke hat weltweit für erhebliche Störungen gesorgt. Auch in Deutschland waren zahlreiche Websites von Behörden und öffentlichen Einrichtungen zeitweise nicht erreichbar. Unter anderem wurden Internetangebote vorsorglich abgeschaltet, um mögliche Cyberangriffe zu verhindern.
Hintergrund sind zwei kritische Schwachstellen in der weitverbreiteten Programmiersprache PHP, die auf Millionen Websites zum Einsatz kommt. Die Sicherheitslücken könnten es Angreifern unter bestimmten Voraussetzungen ermöglichen, Schadcode auf betroffenen Servern auszuführen. Auch in Österreich und der Schweiz kam es zu vorsorglichen Abschaltungen.
Was ist PHP und warum sind so viele Websites betroffen?
PHP ist eine Programmiersprache, die auf Webservern eingesetzt wird. Sie sorgt im Hintergrund beispielsweise dafür, dass Internetseiten Inhalte aus Datenbanken abrufen, Formulare verarbeiten oder Benutzerkonten verwalten können.
Auch das bekannte Content-Management-System WordPress nutzt PHP. Die Programmiersprache kommt weltweit bei Millionen Internetseiten zum Einsatz – von kleinen Blogs über Onlineshops bis hin zu grossen Nachrichtenportalen und Behördenwebsites.
Die nun bekannt gewordenen Sicherheitslücken betreffen PHP selbst. Deshalb können grundsätzlich zahlreiche unterschiedliche Webanwendungen gefährdet sein.
Allerdings ist nicht jede Website automatisch verwundbar. Entscheidend sind unter anderem die eingesetzte PHP-Version und die Sicherheitsupdates des jeweiligen Betreibers.
Welche Gefahr geht von der Sicherheitslücke aus?
Die beiden Schwachstellen werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt und sind auch unter der Bezeichnung «php2shell» bekannt.
Beide gelten als kritisch und wurden mit einem Schweregrad von 9,2 von maximal 10 Punkten bewertet.
Gelingt es Cyberkriminellen, die Sicherheitslücken auszunutzen, könnten sie unter anderem:
- Schadprogramme auf betroffenen Servern ausführen,
- vertrauliche Daten auslesen,
- Inhalte von Websites manipulieren,
- Server für weitere Cyberangriffe missbrauchen oder
- Daten verschlüsseln und Lösegeld verlangen.
Ob und in welchem Umfang die Schwachstellen bereits erfolgreich für Angriffe ausgenutzt wurden, ist noch nicht abschliessend geklärt.
Deutschland: Bundesamt warnt vor schwerwiegender Bedrohung
In Deutschland warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor den kritischen Schwachstellen und stufte die Bedrohung mit der Warnstufe 3, Orange, ein.
Zahlreiche öffentliche Einrichtungen reagierten mit vorübergehenden Abschaltungen. Besonders deutlich wurden die Auswirkungen in Bayern, wo zeitweise auch Internetangebote der Polizei, verschiedener Ministerien und öffentlicher Einrichtungen nicht erreichbar waren.
Das BSI rief Betreiber dazu auf, die Sicherheitsupdates schnellstmöglich einzuspielen. Wo dies nicht zeitnah möglich war, kam auch eine vorübergehende Abschaltung als Schutzmassnahme infrage.
Schweiz: Mehr als 100.000 Websites zeitweise offline
Auch in der Schweiz waren die Auswirkungen erheblich. Laut einer ersten Bilanz des Schweizer Fernsehens SRF waren zeitweise mehr als 100.000 Schweizer Websites nicht erreichbar.
Unter anderem schalteten Kantone ihre Internetangebote vorsorglich ab. Der Kanton Basel-Stadt teilte am 22. Oktober mit, dass betroffene Websites nach dem Schliessen der Sicherheitslücke schrittweise wieder online genommen wurden.
Nach Angaben des Bundesamts für Cybersicherheit (BACS) waren bis zum 22. Oktober keine Angriffe in der Schweiz bekannt, die eindeutig auf die beiden Schwachstellen zurückgeführt werden konnten. Unentdeckte Vorfälle liessen sich jedoch nicht ausschliessen.
Das BACS empfiehlt allen betroffenen Betreibern, Sicherheitsupdates unverzüglich einzuspielen.
Österreich: Auch Landes- und Behördenwebsites betroffen
In Österreich kam es ebenfalls zu vorsorglichen Abschaltungen.
Unter anderem waren die Website des Landes Niederösterreich, die Niederösterreichischen Nachrichten sowie mehrere Bildungseinrichtungen zeitweise nicht erreichbar.
Die österreichische Cybersicherheitsstelle CERT.at beziehungsweise GovCERT Austria veröffentlichte am 21. Oktober eine entsprechende Sicherheitswarnung. Darin wird darauf hingewiesen, dass die Schwachstellen unter bestimmten Voraussetzungen die Ausführung von Schadcode aus der Ferne ermöglichen.
Auch österreichische Websitebetreiber werden aufgefordert, ihre Systeme zu überprüfen und die verfügbaren Updates zu installieren.
Müssen sich normale Internetnutzer Sorgen machen?
Für Menschen, die lediglich mit dem Smartphone, Tablet oder Computer im Internet surfen, besteht wegen dieser PHP-Sicherheitslücken zunächst kein unmittelbarer Handlungsbedarf.
Die Schwachstellen befinden sich nicht auf den Geräten der Nutzer, sondern auf den Servern der betroffenen Websites.
Ein gewöhnliches Update des Smartphones oder Computers behebt die PHP-Sicherheitslücke daher nicht. Indirekte Risiken bestehen dennoch: Sollten Angreifer einen verwundbaren Server erfolgreich kompromittieren, könnten dort gespeicherte persönliche Informationen gefährdet sein.
Wer von einem Anbieter über einen tatsächlichen Datenvorfall informiert wird, sollte dessen Sicherheitshinweise beachten.
Was müssen Websitebetreiber jetzt tun?
Für Betreiber betroffener Internetseiten besteht dagegen dringender Handlungsbedarf. Seit dem 21. Oktober stehen korrigierte PHP-Versionen zur Verfügung. Die Sicherheitslücken wurden unter anderem mit den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben.
Betreiber sollten prüfen, welche PHP-Version ihre Systeme verwenden, und die erforderlichen Sicherheitsupdates installieren lassen. Auch Hosting-Anbieter und externe IT-Dienstleister sollten gegebenenfalls kontaktiert werden.
Wichtig ist ausserdem, nach der Aktualisierung zu kontrollieren, ob tatsächlich die korrigierte Software ausgeführt wird. Kann ein betroffenes System nicht sofort abgesichert werden, kann eine vorübergehende Einschränkung oder Abschaltung erforderlich sein.
Sind die Websites inzwischen wieder sicher?
Viele zuvor abgeschaltete Internetangebote wurden nach der Installation der Sicherheitsupdates wieder freigeschaltet. Eine vollständige Entwarnung für sämtliche Websites gibt es allerdings nicht. Entscheidend ist, ob die jeweiligen Betreiber die Schwachstellen tatsächlich behoben haben.
Die zuständigen Cybersicherheitsbehörden empfehlen deshalb weiterhin, betroffene Systeme konsequent zu aktualisieren und auf mögliche Anzeichen eines Angriffs zu überprüfen.
Quelle der Nachricht: BACS / GovCert / BSI