Sicherheitslücke bei PHP Millionen Angriffsversuche in kurzer Zeit
Stand: 22.10.2026 • 18:27 Uhr
Millionen Cyberattacken binnen weniger Stunden: Die PHP-Sicherheitslücke hat weltweit Besorgnis ausgelöst. Viele Internetseiten sind noch immer nicht erreichbar - und Kriminelle versuchen weiter, die Lücke auszunutzen.
Die weltweite Sicherheitslücke in der Programmiersprache PHP versetzt die IT-Welt und Betreiber von Webseiten weiter in Aufruhr. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und internationale Experten warnen vor akuter Gefahr.
Die Schwachstellen lösten einen Wettlauf zwischen Webseitenbetreibern und Cyberkriminellen aus. Während die einen mit Hochdruck daran arbeiten, eine aktualisierte Version der Software zu installieren, suchen Angreifer weiter nach ungeschützten Servern.
Die PHP Foundation, welche die Programmiersprache weiterentwickelt, forderte am Mittwoch alle Nutzer auf, umgehend ein Sicherheits-Update zu installieren. Websites und -anwendungen, die angreifbar bleiben, könnten gehackt und dazu benutzt werden, um Viren, Spam und Falschinformationen zu verbreiten.
Zahlreiche Websites vom Netz genommen
Die schwerwiegende Sicherheitslücke in der weitverbreiteten Programmiersprache PHP hat weltweit Besorgnis ausgelöst, viele Webseiten wurden sicherheitshalber runtergefahren.
Am Mittwoch waren auch mehrere Seiten von Bundesministerien vorsorglich vom Netz genommen worden. Beim Bund hat es nach den Worten von Digitalminister Karsten Wildberger bisher offenbar aber keine Schäden an IT-Systemen gegeben. Demnach gebe es "keine Hinweise", dass Webseiten und IT-Infrastruktur des Bundes von der PHP-Sicherheitslücke betroffen sind.
Das BSI und das zentrale IT-Dienstleistungsunternehmen des Bundes (ITZ-Bund) hätten "sehr schnell und klar reagiert", sagte Wildberger der Bild-Zeitung.
Der Digitalminister sagte weiter: "Der Fall zeigt auch: Wir stehen am Beginn eines neuen Zeitalters der Cybersicherheit. KI-basierte Tools können uns helfen, Schwachstellen schneller und präziser aufzuspüren als je zuvor."
Gefahr der vollständigen Übernahme betroffener Systeme
Behörden und IT-Sicherheitsexperten hatten die Lage als außerordentlichen Notfall eingestuft, weil durch die Sicherheitslücke eine vollständige Übernahme betroffener Systeme droht und die Details der Lücke vorab unbeabsichtigt an die Öffentlichkeit gelangten. Viele Webseitenbetreiber haben ihre Internetauftritte vorsorglich vom Netz genommen und installierten hektisch Updates. Inzwischen sind aber viele Websites wieder online.
Die PHP-Sicherheitslücke habe IT-Verantwortlichen eine schlaflose Nacht beschert, sagte Microsoft-Chef Satya Nadella auf einer Veranstaltung in Köln. "So etwas habe ich schon lange, lange nicht mehr gesehen." Es sei ein Weckruf gewesen.
Millionen Attacken in kurzer Zeit
Laut der Cybersicherheitsfirma Cloudflare löste das Bekanntwerden der PHP-Fehler eine Flut von Attacken aus. In den Stunden davor habe es einige tausend Versuche gegeben, die Sicherheitslücken auszunutzen, schrieb Unternehmenschef Matthew Prince auf dem Kurznachrichtendienst X. "Diese Zahl stieg in den 45 Minuten nach der Bekanntgabe auf Zehntausende, innerhalb von zwei Stunden auf Hunderttausende und geht mittlerweile in die Millionen."
70 Prozent aller Websites basieren auf PHP
Ein Großteil der Unternehmen, Organisationen und Institutionen in Deutschland ist nach Angaben des Digitalverbands Bitkom theoretisch von der Sicherheitslücke betroffen. "Praktisch jedes Unternehmen mit eigener Website, Online-Shop oder webbasierter Anwendung kann betroffen sein, vom Handwerksbetrieb bis zum Konzern", erklärte der Verband. "PHP ist die am weitesten verbreitete Programmiersprache für Websites." Nach Einschätzung des Sicherheitsunternehmens Wiz Research basieren etwa 70 Prozent der weltweiten Websites auf PHP.
Das Problem sei, "dass viele Unternehmen PHP nutzen, ohne es zu wissen, etwa weil ihre Website mit einem Content-Management-System läuft", erklärte der Bitkom-Experte Felix Kuhlenkamp. "Vielen Unternehmen dürfte ein Überblick darüber fehlen, welche Server genau mit welcher Software aus dem Internet erreichbar sind."
Städte- und Gemeindebund fordert bessere Strukturen
Der Deutsche Städte- und Gemeindebund (DStGB) hat angesichts der PHP-Sicherheitslücke bessere Strukturen in Deutschland zum Schutz vor Cyberangriffen gefordert. "Wir sehen hier zudem vor allem Bund und Länder in der Verantwortung, entsprechende Strukturen zum besseren Schutz und zur schnellen Reaktionsfähigkeit im Krisenfall bereitzustellen", teilte ein Verbandssprecher der "Rheinischen Post" mit.