Foto: dts Nachrichtenagentur
Mehrere deutsche Behörden, Kommunen und Einrichtungen haben am Mittwoch (21. Oktober 2026) ihre Webseiten vorsorglich abgeschaltet. Anlass sind zwei kritische Sicherheitslücken in PHP, einer technischen Grundlage zahlreicher Internetdienste weltweit. Kriminelle Hacker könnten darüber eigene Befehle auf Servern ausführen und möglicherweise die Kontrolle über Webseiten übernehmen, ohne ein Passwort zu benötigen.
Die Abschaltungen sollen Angriffe verhindern, bis die Systeme abgesichert sind. Sie bedeuten nicht, dass die Webseiten bereits gehackt wurden. Sicherheitsupdates stehen seit Mittwochnachmittag gegen 16 Uhr bereit. Das PHP-Entwicklerteam fordert Betreiber auf, diese unverzüglich zu installieren.
Webseiten und viele weitere Dienste gefährdet
PHP ist eine Programmiersprache. Die dazugehörige Software arbeitet im Hintergrund auf Servern und verarbeitet beispielsweise Anfragen von Webseitenbesuchern. In dieser Software wurden zwei Programmierfehler entdeckt, die Hacker durch gezielt manipulierte Anfragen ausnutzen könnten.
Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) nutzen unter anderem die Webseiten-Systeme WordPress, Drupal, Typo3 und Joomla, die Shopsoftware Magento, die Cloud-Software Nextcloud und die Firewall-Systeme pfSense und OPNsense PHP.
Allein WordPress wird nach Angaben von WordPress für mehr als 40 Prozent aller Webseiten weltweit eingesetzt. Gefährdet sind Systeme, die eine verwundbare PHP-Version verwenden und noch keine Sicherheitskorrektur erhalten haben.
Warum Betreiber schnell handeln müssen
Das PHP-Team bewertet beide Lücken mit 9,2 von zehn Punkten und damit als kritisch. Für eine der Schwachstellen gibt es bereits eine nachgewiesene Angriffsmethode. Nach Angaben der Entwickler lassen sich die Lücken nur durch ein Update vollständig schließen.
Das BSI warnt vor schnellen Angriffen auf noch ungeschützte Systeme: Kriminelle können die veröffentlichten Updates untersuchen und daraus erkennen, wie sich die Fehler ausnutzen lassen. Anschließend könnten sie gezielt nach Servern suchen, auf denen die Korrekturen noch fehlen. KI-Werkzeuge könnten die Entwicklung solcher Angriffsmethoden beschleunigen.
Aktualisiert werden muss die PHP-Software auf dem Server. Bei gehosteten Angeboten ist deshalb der Hostinganbieter oder der zuständige Administrator gefragt.
Felix Kuhlenkamp, Leiter Sicherheit beim Digitalverband Bitkom, fordert besonders Hoster und IT-Dienstleister zu unverzüglichem Handeln auf, weil sie häufig viele Kunden betreuen. Unternehmen sollten außerdem prüfen, wo PHP in ihren Systemen steckt. Dabei müssten sie auch ältere Anwendungen berücksichtigen, deren PHP-Versionen keine regulären Sicherheitsupdates mehr erhalten.
Gefällt Ihnen unsere Zeitung?
Fügen Sie den Pfalz-Express als bevorzugte Quelle bei Google hinzu. So verpassen Sie keine wichtigen Nachrichten aus der Region.
⭐ Bei Google als bevorzugte Quelle hinzufügen [6]