FAQ
Stand: 21.10.2026 • 18:50 Uhr
Eine neu entdeckte, schwerwiegende Sicherheitslücke sorgt für Probleme. Betroffen ist die weitverbreitete Programmiersprache PHP, auf der ein Großteil des Internets basiert. Antworten auf die wichtigsten Fragen.
Was ist PHP?
Die Programmiersprache PHP ist die Basis für viele Anwendungen im Internet. Ob einfache Blogs, große Nachrichtenportale bis hin zu komplexen Onlineshops oder Content-Management-Systemen - vieles davon nutzt PHP als Grundlage.
IT-Fachleute schätzen, dass allein mit der PHP-basierten Anwendung WordPress weltweit 400 bis 500 Millionen Webseiten betrieben werden. Auf PHP setzten aber auch andere populäre Content-Management-Systeme wie Moodle, Joomla! oder Typo3.
Welche Sicherheitslücke wurde gefunden?
Unter dem Namen "PHP2Shell" warnen Sicherheitsexperten vor gleich zwei kritischen Schwachstellen in der php-Software. Sie wurden unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert.
Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine offizielle Cybersicherheitswarnung herausgegeben. In seiner veröffentlichten Warnung (Aktenzeichen BITS-H Nr. 2026-297981-1032) ordnet das BSI das Risiko mit der Warnstufe "3 / Orange" als außerordentlich hoch ein.
Dies bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, da eine massive Beeinträchtigung des Regelbetriebs droht. Das BSI wies in seiner Mitteilung explizit darauf hin, dass von den Schwachstellen ein herausragendes Bedrohungspotenzial ausgeht.
Die Entwickler des PHP-Projektes haben am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache veröffentlicht, in denen die Sicherheitslücken geschlossen wurden.
Welches Risiko besteht?
Das Gefahrenpotenzial dieser Lücken ist immens: Kriminelle Akteure könnten die Schwachstelle ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen (auch "Remote Code Execution" genannt).
In der Praxis ermöglicht dies Angreifern, die vollständige Kontrolle über eine Website zu übernehmen, sensible Datenbanken und Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.
Auch das BSI machte deutlich, wie ernst die Lage ist, falls nicht umgehend Sicherheitsupdates installiert werden. Der Expertendienst Heise Security warnte die Website-Betreiber, dass funktionierende Schadprogramme in Stunden-, spätestens Tagesfrist erscheinen würden.
Was kann getan werden, um die Gefahr zu beheben?
Wer das Risiko einer Kompromittierung nicht eingehen wolle, habe nur eine Option, nämlich die mit PHP betriebenen Web-Server vom Netz zu trennen, solange das Update nicht installiert wurde, so Heise Security.
Auch das BSI rät Betreibern von Internetangeboten explizit, ihre Server im Zweifel komplett vom Netz zu nehmen und dann in Ruhe das Sicherheitsupdate aufzusetzen.
Ältere PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, stellen ein unkalkulierbares Risiko dar und sollten isoliert oder umgehend aktualisiert werden.
Wie reagieren die Seitenbetreiber?
Online-Dienste mehrerer Einrichtungen haben ihre Angebote wegen der Sicherheitslücke vorsorglich vom Netz genommen. Internetseiten unter anderem von Universitäten, Stadtverwaltungen und Kliniken hielten sich an die Ratschläge und waren vorübergehend nicht mehr erreichbar.
Viele Betreiber kündigten an, umgehend Sicherheitsupdates zu installieren. Darunter auch der Betreiber der Internet-Enzyklopädie Wikipedia.
Besteht Handlungsbedarf beim Surfen im Netz?
Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC zwar kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund.
Dennoch können Verbraucher indirekt betroffen sein - etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten. Die Entwickler der Programmiersprache sowie Hosting-Anbieter weltweit arbeiten rund um die Uhr daran, die Lücken zu schließen.