Viele Webseiten wieder online – aber noch keine Entwarnung: Was Sie zur PHP

Wegen einer kritischen Sicherheitslücke in der weitverbreiteten Programmiersprache PHP waren in vielen Bundesländern vorsorglich Webseiten zeitweise vom Netz genommen worden. Am Donnerstagmorgen waren manche Angebote wieder freigeschaltet worden.

In Berlin und Brandenburg gingen etliche Einrichtungen wie Hochschulen und Krankenhäuser, staatliche Stellen oder Kommunen im Tageverlauf schrittweise wieder ans Netz. So teilte etwa die Freie Universität Berlin mit: „Viele Systeme konnten mittlerweile wieder in Betrieb genommen werden.“ Auch die Online-Auftritte von Kliniken wie der Berliner Charité, von der Berliner S-Bahn oder dem offiziellen Hauptstadtportal „berlin.de“ waren wieder erreichbar.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat bislang keine Fälle festgestellt, in denen die Sicherheitslücke in der ausgenutzt wurde. „Dennoch können erfolgreiche Angriffe derzeit nicht ausgeschlossen werden“, erklärte die Behörde am Donnerstag. Das BSI hatte am frühen Mittwochnachmittag eine Warnung ausgegeben.

Ebenfalls am Mittwochnachmittag hatten die Entwickler des PHP-Projektes aktualisierte Versionen der Webskriptsprache veröffentlicht, in denen die Sicherheitslücken geschlossen wurden. Zudem wurden Anleitungen für Aktualisierungen und Download-Links für Update-Möglichkeiten veröffentlicht. Eine offizielle Entwarnung gab es seitens PHP.net allerdings noch nicht.

Was wird Webseiten-Betreibern empfohlen?

Webseiten-Betreiber sollten auf gepatchte Versionen aktualisieren, schreibt PHP.net auf seiner Webseite. Anleitungen und Download-Links dazu finden Sie hier. Darüber hinaus müsse sichergestellt werden, dass die neue Version auf allen Servern läuft, die Webanfragen beantworten. Langfristig sei ein Umstieg auf PHP 8.2 oder neuer sinnvoll.

Die PHP‑Group betont, dass „nur ein Update eine vollumfängliche Sicherheitslösung darstellt“. Allerdings könnten „zusätzliche Maßnahmen die Anfälligkeit gegenüber bestimmten Angriffswegen vermindern“, schreibt der Konzern weiter. Die konkreten Maßnahmen wurden ebenfalls auf der Webseite veröffentlicht.

Was sollten Betreiber einer kleinen privaten Webseite nun tun?

Wer privat eine Webseite betreibt, nutzt in aller Regel Webspace auf dem Server eines Hosting-Anbieters. Und das meist auch mit App-Installation (etwa WordPress) über den Anbieter. Die Aktualisierung der Software übernimmt ebenfalls der Anbieter. Bei der aktuellen PHP-Sicherheitslücke müssen die Anwender also abwarten, dass der Hosting-Anbieter die notwendigen Updates einspielt. Das dürfte ganz überwiegend bereits geschehen sein.

Zusätzlich sollte man nachschauen, mit welcher PHP-Version die eigene Seite arbeitet. Das können beispielsweise WordPress-Nutzende im WordPress-Admin-Dashboard unter „Werkzeuge/Website-Zustand/Bericht/Server/PHP“. Ansonsten ist es meist auf einer etwa Control-Panel genannten Verwaltungswebseite des Hosting-Anbieters möglich, die PHP-Version zu checken – etwa im Bereich Entwicklung.

Sicher sind die PHP-Versionen ab:

8.2.35 (im PHP-Zweig 8.2)

8.3.36 (im PHP-Zweig 8.3)

8.4.27 (im PHP-Zweig 8.4)

8.5.12 (im PHP-Zweig 8.5)

Wie geht es jetzt weiter und wann ist die Gefahr gebannt?

Die weltweite Welle automatisierter Angriffe läuft derzeit an und wird voraussichtlich noch über Wochen und Monate hinweg andauern, da Angreifer unermüdlich nach ungepatchten Systemen suchen.

Entwarnung kann erst gegeben werden, wenn die breite Masse der Webhoster und Systemadministratoren die Sicherheitsupdates eingespielt hat. Systeme und veraltete PHP-Versionen, für die es keine offiziellen Updates mehr gibt, müssen von den Betreibern isoliert oder unverzüglich abgeschaltet werden, um dauerhafte Einfallstore für Cyberkriminelle zu verhindern.

Warum wurden Webseiten zeitweise offline gestellt?

Zuvor hatten IT-Experten am Mittwoch gewarnt, ungeschützte Webseiten müssten wegen einer schwerwiegenden PHP-Sicherheitslücke sofort abgeschaltet werden. Angesichts drohender automatisierter Angriffswellen forderte etwa der Karlsruher IT-Sicherheitsexperte Christoph Fischer ein drastisches Durchgreifen der Betreiber.

„Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben“, sagte Fischer der Deutschen Presse-Agentur. „Jede ungeschützte PHP-Anwendung ist in diesem Moment eine offene Tür für Kriminelle.“

Es spricht viel dafür, dass die Sicherheitslücke durch den massiven Einsatz von künstlicher Intelligenz aufgespürt wurde – auch weil sie zuvor jahrzehntelang übersehen worden war.

Wer ist von der Sicherheitslücke betroffen?

Betroffen ist die weitverbreitete Programmiersprache PHP, auf der ein Großteil des gesamten Internets basiert. Nach Angaben des deutschen Digitalverbands Bitkom nutzt „praktisch jedes Unternehmen mit eigener Website, Online-Shop oder webbasierter Anwendung“ PHP. Zugleich seien sich viele Unternehmen nicht bewusst, dass sie PHP nutzen, weil ihre Website mit einem Content-Management-System läuft.

Sind normale Internetnutzer betroffen?

Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund.

Um welche Schwachstellen handelt es sich genau?

Es geht um zwei kritische Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert wurden.

Was kann schlimmstenfalls passieren?

Das Gefahrenpotenzial dieser Lücken ist immens: Kriminelle Akteure können die Schwachstelle ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen (Remote Code Execution).

In der Praxis ermöglicht dies Angreifern, die vollständige Kontrolle über eine Website zu übernehmen, sensible Datenbanken und Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.

Wie wurde die PHP-Sicherheitslücke gefunden?

Das Sicherheitsunternehmen Wiz Research, das nach eigenen Angaben die Sicherheitslücke ausfindig gemacht hat, und andere Gruppen hatten bereits im August mit modernen KI-Modellen nach Schwachstellen in PHP gesucht. Die Ergebnisse wurden geheim gehalten, um ein Update zur Reparatur gefundener Lücken zu entwickeln.

Am Mittwochnachmittag mitteleuropäischer Zeit rollte die PHP Foundation das Sicherheitsupdate aus. „Wenn Sie PHP nutzen, müssen Sie unbedingt jetzt ein Update durchführen“, erklärte sie dazu.

Was sagt die Politik zur PHP-Sicherheitslücke?

Der Vorsitzende des Parlamentarischen Kontrollgremiums für die Geheimdienste, Marc Henrichmann, warnte vor einer neuen Dimension der Cyberbedrohung. „Wir erleben einen Wendepunkt“, sagte der CDU-Politiker dem „Handelsblatt“. Künstliche Intelligenz (KI) mache aus Schwachstellen, die bisher als kaum ausnutzbar gegolten hätten, in kurzer Zeit „echte Einfallstore“.

„Das ist eine der ernstesten Sicherheitslücken der vergangenen Jahre“, sagte der CDU-Politiker. Die Schwachstelle betreffe einen Großteil der Websites weltweit und sei damit „ein Problem für die gesamte digitale Infrastruktur“. Der Fall zeige auch, wie verwundbar staatliche Einrichtungen seien, wenn zentrale Software über Jahre unentdeckte Fehler enthalte. Solche Sicherheitslücken würden gezielt von Kriminellen und staatlichen Akteuren ausgenutzt.