PHP-Sicherheitslücke – Weltweit zahlreiche Websites betroffen
Redaktion Polizeiticker Schweiz
Zwei schwerwiegende Sicherheitslücken in der Programmiersprache PHP haben weltweit für Aufregung gesorgt. Zahlreiche Behörden, Unternehmen und öffentliche Einrichtungen nahmen ihre Websites vorsorglich vom Netz. Auch in der Schweiz, Österreich und Deutschland kam es zu Ausfällen. Doch wie gefährlich ist die Sicherheitslücke – und was bedeutet sie für Internetnutzer?
Am Mittwoch, 21. Oktober 2026, waren zahlreiche Internetseiten plötzlich nicht mehr erreichbar. Betroffen waren unter anderem Behörden, Universitäten, öffentliche Einrichtungen und Unternehmen.
Hintergrund waren zwei kritische Sicherheitslücken in der weitverbreiteten Programmiersprache PHP. Diese könnten es Angreifern ermöglichen, unbefugt auf Server zuzugreifen und dort Schadcode auszuführen.
Viele Betreiber entschieden sich deshalb, ihre Internetangebote vorübergehend abzuschalten, bis entsprechende Sicherheitsupdates installiert werden konnten. Die Abschaltungen bedeuten nicht, dass die betroffenen Websites tatsächlich gehackt wurden. In vielen Fällen handelte es sich um reine Vorsichtsmassnahmen.
Was ist PHP und warum sind so viele Websites betroffen?
PHP ist eine Programmiersprache, die auf Webservern eingesetzt wird. Sie sorgt im Hintergrund beispielsweise dafür, dass Internetseiten Inhalte aus Datenbanken abrufen, Formulare verarbeiten oder Benutzerkonten verwalten können.
Auch das bekannte Content-Management-System WordPress nutzt PHP. Die Programmiersprache kommt weltweit bei Millionen Internetseiten zum Einsatz – von kleinen Blogs über Onlineshops bis hin zu grossen Nachrichtenportalen und Behördenwebsites.
Die nun bekannt gewordenen Sicherheitslücken betreffen PHP selbst. Deshalb können grundsätzlich zahlreiche unterschiedliche Webanwendungen gefährdet sein.
Allerdings ist nicht jede Website automatisch verwundbar. Entscheidend sind unter anderem die eingesetzte PHP-Version und die Sicherheitsupdates des jeweiligen Betreibers.
Welche Gefahr geht von der Sicherheitslücke aus?
Die beiden Schwachstellen werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt und sind auch unter der Bezeichnung «php2shell» bekannt.
Beide gelten als kritisch und wurden mit einem Schweregrad von 9,2 von maximal 10 Punkten bewertet.
Gelingt es Cyberkriminellen, die Sicherheitslücken auszunutzen, könnten sie unter anderem:
- Schadprogramme auf betroffenen Servern ausführen,
- vertrauliche Daten auslesen,
- Inhalte von Websites manipulieren,
- Server für weitere Cyberangriffe missbrauchen oder
- Daten verschlüsseln und Lösegeld verlangen.
Ob und in welchem Umfang die Schwachstellen bereits erfolgreich für Angriffe ausgenutzt wurden, ist noch nicht abschliessend geklärt.
Schweiz: Mehr als 100'000 Websites zeitweise offline
Auch in der Schweiz waren die Auswirkungen erheblich. Laut einer ersten Bilanz des Schweizer Fernsehens SRF waren zeitweise mehr als 100'000 Schweizer Websites nicht erreichbar.
Unter anderem schalteten Kantone ihre Internetangebote vorsorglich ab. Der Kanton Basel-Stadt teilte am 22. Oktober mit, dass betroffene Websites nach dem Schliessen der Sicherheitslücke schrittweise wieder online genommen wurden.
Nach Angaben des Bundesamts für Cybersicherheit (BACS) waren bis zum 22. Oktober keine Angriffe in der Schweiz bekannt, die eindeutig auf die beiden Schwachstellen zurückgeführt werden konnten. Unentdeckte Vorfälle liessen sich jedoch nicht ausschliessen.
Das BACS empfiehlt allen betroffenen Betreibern, Sicherheitsupdates unverzüglich einzuspielen.
Österreich: Auch Landes- und Behördenwebsites betroffen
In Österreich kam es ebenfalls zu vorsorglichen Abschaltungen.
Unter anderem waren die Website des Landes Niederösterreich, die Niederösterreichischen Nachrichten sowie mehrere Bildungseinrichtungen zeitweise nicht erreichbar.
Die österreichische Cybersicherheitsstelle CERT.at beziehungsweise GovCERT Austria veröffentlichte am 21. Oktober eine entsprechende Sicherheitswarnung. Darin wird darauf hingewiesen, dass die Schwachstellen unter bestimmten Voraussetzungen die Ausführung von Schadcode aus der Ferne ermöglichen.
Auch österreichische Websitebetreiber werden aufgefordert, ihre Systeme zu überprüfen und die verfügbaren Updates zu installieren.
Deutschland: Bundesamt warnt vor schwerwiegender Bedrohung
In Deutschland warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor den kritischen Schwachstellen und stufte die Bedrohung mit der Warnstufe 3, Orange, ein.
Zahlreiche öffentliche Einrichtungen reagierten mit vorübergehenden Abschaltungen. In Bayern waren unter anderem Internetangebote der Polizei, verschiedener Ministerien, von Universitäten und kommunalen Behörden betroffen.
Das BSI rief Betreiber dazu auf, die Sicherheitsupdates schnellstmöglich einzuspielen. Wo dies nicht zeitnah möglich war, kam auch eine vorübergehende Abschaltung als Schutzmassnahme infrage.
Müssen sich normale Internetnutzer Sorgen machen?
Für Menschen, die lediglich mit dem Smartphone, Tablet oder Computer im Internet surfen, besteht wegen dieser PHP-Sicherheitslücken zunächst kein unmittelbarer Handlungsbedarf.
Die Schwachstellen befinden sich nicht auf den Geräten der Nutzer, sondern auf den Servern der betroffenen Websites.
Ein gewöhnliches Update des Smartphones oder Computers behebt die PHP-Sicherheitslücke daher nicht. Indirekte Risiken bestehen dennoch: Sollten Angreifer einen verwundbaren Server erfolgreich kompromittieren, könnten dort gespeicherte persönliche Informationen gefährdet sein.
Wer von einem Anbieter über einen tatsächlichen Datenvorfall informiert wird, sollte dessen Sicherheitshinweise beachten.
Was müssen Websitebetreiber jetzt tun?
Für Betreiber betroffener Internetseiten besteht dagegen dringender Handlungsbedarf. Seit dem 21. Oktober stehen korrigierte PHP-Versionen zur Verfügung. Die Sicherheitslücken wurden unter anderem mit den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben.
Betreiber sollten prüfen, welche PHP-Version ihre Systeme verwenden, und die erforderlichen Sicherheitsupdates installieren lassen. Auch Hosting-Anbieter und externe IT-Dienstleister sollten gegebenenfalls kontaktiert werden.
Wichtig ist ausserdem, nach der Aktualisierung zu kontrollieren, ob tatsächlich die korrigierte Software ausgeführt wird. Kann ein betroffenes System nicht sofort abgesichert werden, kann eine vorübergehende Einschränkung oder Abschaltung erforderlich sein.
Sind die Websites inzwischen wieder sicher?
Viele zuvor abgeschaltete Internetangebote wurden nach der Installation der Sicherheitsupdates wieder freigeschaltet. Eine vollständige Entwarnung für sämtliche Websites gibt es allerdings nicht. Entscheidend ist, ob die jeweiligen Betreiber die Schwachstellen tatsächlich behoben haben.
Die zuständigen Cybersicherheitsbehörden empfehlen deshalb weiterhin, betroffene Systeme konsequent zu aktualisieren und auf mögliche Anzeichen eines Angriffs zu überprüfen.
Quelle der Nachricht: BACS / GovCert / BSI