Angriffe, Webseiten offline – was Sie zur PHP
Wegen einer kritischen Sicherheitslücke in der weitverbreiteten Programmiersprache PHP waren in vielen Bundesländern vorsorglich Webseiten zeitweise vom Netz genommen worden.
Am Donnerstagmorgen waren manche Angebote wieder freigeschaltet, darunter viele Internetseiten in Rheinland-Pfalz und im Saarland. Auch in Thüringen sind seit dem späten Mittwochabend viele Seiten wieder online, darunter jene der Staatskanzlei, der Landespolizei und des Innenministeriums. Andere prominente Webseiten in Nordrhein-Westfalen waren allerdings auch heute nicht erreichbar.
Die Entwickler des PHP-Projektes hatten am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache veröffentlicht, in denen die Sicherheitslücken geschlossen wurden.
Was müssen private Website-Betreiber nun tun?
Betreiber sollten auf gepatchte Versionen aktualisieren und sicherstellen, dass die neue Version auf allen Servern läuft, die Webanfragen beantworten. Langfristig ist ein Umstieg auf PHP 8.2 oder neuer sinnvoll.
PHP-Sicherheitslücke als „offene Tür für Kriminelle“
Zuvor hatten IT-Experten am Mittwoch gewarnt, ungeschützte Webseiten müssten wegen einer schwerwiegenden PHP-Sicherheitslücke sofort abgeschaltet werden. Angesichts drohender automatisierter Angriffswellen forderte etwa der Karlsruher IT-Sicherheitsexperte Christoph Fischer ein drastisches Durchgreifen der Betreiber.
„Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben“, sagte Fischer der Deutschen Presse-Agentur. „Jede ungeschützte PHP-Anwendung ist in diesem Moment eine offene Tür für Kriminelle.“
Es spricht viel dafür, dass die Sicherheitslücke durch den massiven Einsatz von Künstlicher Intelligenz aufgespürt wurde – auch weil sie zuvor jahrzehntelang übersehen worden war.
Wer ist von der Sicherheitslücke betroffen?
Betroffen ist die weitverbreitete Programmiersprache PHP, auf der ein Großteil des gesamten Internets basiert – von einfachen Blogs über große Nachrichtenportale bis zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.
Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC allerdings kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund.
Was sagt die Politik?
Der Vorsitzende des Parlamentarischen Kontrollgremiums für die Geheimdienste, Marc Henrichmann, warnte vor einer neuen Dimension der Cyberbedrohung. „Wir erleben einen Wendepunkt“, sagte der CDU-Politiker dem „Handelsblatt“. Künstliche Intelligenz (KI) mache aus Schwachstellen, die bisher als kaum ausnutzbar gegolten hätten, in kurzer Zeit „echte Einfallstore“.
„Das ist eine der ernstesten Sicherheitslücken der vergangenen Jahre“, sagte der CDU-Politiker. Die Schwachstelle betreffe einen Großteil der Websites weltweit und sei damit „ein Problem für die gesamte digitale Infrastruktur“. Der Fall zeige auch, wie verwundbar staatliche Einrichtungen seien, wenn zentrale Software über Jahre unentdeckte Fehler enthalte. Solche Sicherheitslücken würden gezielt von Kriminellen und staatlichen Akteuren ausgenutzt.
Baden-Württembergs Innenminister Manuel Hagel (CDU) sagte, der Vorfall zeige erneut, dass sich die Cybersicherheitslage weiter verschärfe: „Wir müssen deshalb jederzeit in der Lage sein, exponierte Systeme bei akuten Gefährdungen kurzfristig vom Netz zu nehmen, um Schaden abzuwenden.“
Um welche Schwachstellen handelt es sich genau?
Es geht um zwei kritische Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert wurden.
Das Gefahrenpotenzial dieser Lücken ist immens: Kriminelle Akteure können die Schwachstelle ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen (Remote Code Execution). In der Praxis ermöglicht dies Angreifern, die vollständige Kontrolle über eine Website zu übernehmen, sensible Datenbanken und Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.
Wie geht es jetzt weiter und wann ist die Gefahr gebannt?