PHP‑Sicherheitslücke führt zu weltweiten Website‑Ausfällen

Am 21. Oktober 2026 gab das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Cybersicherheitswarnung heraus. Es identifizierte zwei kritische Schwachstellen in PHP, katalogisiert als CVE-2026-109618 und CVE-2026-109619. Das BSI bewertete das Risiko als Level 3, Orange, was eine außergewöhnlich hohe Bedrohung bedeutet. Die Warnung forderte sofortige Sicherheitsupdates.

Die Schwachstellen, genannt PHP2Shell, ermöglichen es Angreifern, Code aus der Ferne ohne Authentifizierung auszuführen. Infolgedessen wurden viele Websites proaktiv heruntergefahren. Die Website des Bundeskriminalamts (BKA) blieb am Morgen offline. Andere Seiten, wie Berlin.de, sahen sich vorübergehenden Beschränkungen gegenüber.

Das PHP‑Entwicklungsteam veröffentlichte am 22. Oktober 2026 gepatchte Versionen. Nach der Anwendung der Updates setzten mehrere Dienste ihre Tätigkeit fort. Die Website der S-Bahn Berlin wurde bis zum Abend wieder online gemeldet. Deutsche Landesportale in Rheinland-Pfalz und Saarland öffneten ebenfalls nach den Patches wieder.

Das chinesische Industrie- und Handelsministerium forderte eine umfassende Überprüfung der IT‑Systeme und rief die Nutzer dazu auf, auf die neueste PHP‑Version zu aktualisieren. Das nationale Sicherheitsamt Südkoreas einberief ein Krisenmeeting zur Cybersicherheit. Das staatliche IT‑Zentrum Finnlands stellte fest, dass öffentliche Regierungs‑Webdienste betroffen waren.