Gravierende PHP-Sicherheitslücke bedroht Millionen Webseiten

Eine schwerwiegende Sicherheitslücke in der Programmiersprache PHP bedroht weltweit Millionen von Webseiten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine offizielle Warnung herausgegeben und die Warnstufe „3 / Orange“ ausgerufen – das bedeutet ein außerordentlich hohes Gefährdungspotenzial. Betroffen sind unter anderem Blogs, Nachrichtenportale, Onlineshops und Content-Management-Systeme wie WordPress, das nach Expertenschätzungen 400 bis 500 Millionen Webseiten weltweit nutzen. Auch Moodle, Joomla!, Typo3 und Drupal setzen auf PHP.

Zwei kritische Schwachstellen ermöglichen Fernzugriff

Die Lücke trägt den Namen „PHP2Shell“ und umfasst zwei kritische Schwachstellen im Kern der Software. Sie werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt. Eine Ausnutzung ermöglicht Remote Code Execution ohne vorherige Anmeldung aus der Ferne. Damit können Angreifer die vollständige Kontrolle über eine Website übernehmen, Datenbanken und Kundendaten abgreifen und die Infrastruktur für weitere Cyberattacken missbrauchen. Detaillierte Informationen zur Schwachstelle waren unbeabsichtigt vorab an die Öffentlichkeit gelangt, was die globale IT-Branche unter erheblichen Zeitdruck setzt. Branchenexperten befürchten, dass automatisierte Skripte in Kürze Server im Sekundentakt aufspüren und kapern könnten.

Kommunen und Behörden reagieren mit Abschaltungen

Mehrere Kommunen und Behörden folgten der BSI-Empfehlung und schalteten ihre Online-Angebote vorübergehend ab. Auch Universitäten und Krankenhäuser reagierten entsprechend. Die Landeshauptstadt Mainz deaktivierte vorsorglich mehrere städtische Internetdienste und das zentrale Portal mainz.de. Die Stadtverwaltung betonte, dass Ämter und Bürgerbüros telefonisch und per E-Mail weiterhin erreichbar seien und bereits vereinbarte Termine wie geplant stattfänden. Die Abschaltung betreffe rein den externen Webauftritt zum Schutz der kommunalen Datenverarbeitung.

Handlungsempfehlungen für Betreiber

Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen auf PHP-Basis besteht höchste Dringlichkeit. IT-Experten raten, unverzüglich Kontakt zu Systemadministratoren, IT-Dienstleistern oder Webhosting-Anbietern aufzunehmen. Verfügbare Patches und Sicherheitsupdates für die PHP-Umgebung und Content-Management-Systeme sollten ohne Verzug eingespielt werden. Ältere, nicht mehr offiziell unterstützte PHP-Versionen gelten als unkalkulierbares Risiko und sollten isoliert oder umgehend aktualisiert werden. Die PHP-Entwickler kündigten einen Sicherheitspatch für Mittwochnachmittag um 16 Uhr an. Heise Security warnte, dass funktionierende Exploits in Stunden-, spätestens Tagesfrist zu erwarten seien. Als einzige Option bis dahin nannte das Fachportal, PHP-betriebene Web-Server vom Netz zu trennen. Für normale Internetnutzer besteht beim alltäglichen Surfen kein direkter Handlungsbedarf, da die Lücke auf Servern im Hintergrund liegt und nicht auf Endgeräten. Allerdings könnten Verbraucher indirekt betroffen sein, etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten.