Zwei schwerwiegende Sicherheitslücken in der Programmiersprache PHP gefährden weltweit Webanwendungen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine dringende Cybersicherheitswarnung veröffentlicht. Zahlreiche Behörden, Kliniken und Hochschulen nahmen ihre Webseiten vorsorglich vom Netz – auch im Saarland. Inzwischen stehen Sicherheitsupdates bereit.
Was ist PHP und welche Systeme sind gefährdet?
PHP (PHP: Hypertext Preprocessor) ist eine weitverbreitete, quelloffene Programmiersprache zur Entwicklung dynamischer Webseiten. Sie verarbeitet serverseitig beispielsweise Benutzeranmeldungen, Formulare, Datenbankabfragen und Bestellungen.
Bekannte Systeme wie WordPress, TYPO3, Joomla und Nextcloud verwenden PHP. Sicherheitslücken im PHP-Kern können daher zahlreiche unterschiedliche Webanwendungen betreffen, unabhängig von deren konkreter Software.
Kritische Schwachstellen mit hohem Angriffspotenzial
Die PHP-Entwickler warnen vor zwei Schwachstellen, die unter der Bezeichnung „PHP2Shell“ bekannt wurden.
Laut dem Bundesamt für Sicherheit in der Informationstechnik (nachfolgend: BSI) sind alle PHP-Installationen, die Webanfragen verarbeiten, einschließlich PHP-FPM, Apache mit mod_php, php-cig, FrankenPHP und LiteSpeed betroffen.
Die Schwachstellen erreichen nach dem Bewertungssystem CVSS 4.0 einen Kritikalitätswert von 9,2 von 10 Punkten. Das BSI stuft die Bedrohung in seiner Cybersicherheitswarnung BITS-H Nr. 2026-297981-1032 mit Warnstufe 3 (Orange) von 4 als außerordentlich hoch ein.
Die Schwachstellen betreffen die Speicherverwaltung und interne Zustandsverarbeitung von PHP. Angreifer können unter bestimmten Voraussetzungen ohne vorherige Authentifizierung eigenen Programmcode auf Webservern ausführen („Remote Code Execution“). Mögliche Folgen reichen von Datendiebstahl und Webseitenmanipulationen bis zur vollständigen Kompromittierung betroffener Server.
Zahlreiche Einrichtungen betroffen – auch im Saarland
Bundesweit wurden Internetangebote von Behörden, Universitäten und Krankenhäusern vorsorglich abgeschaltet, darunter die Berliner Charité und verschiedene Verwaltungsangebote.
Beim Aufruf zahlreicher Webseiten erschien bzw. erscheint zeitweise der Hinweis, dass diese aufgrund von Wartungsarbeiten nicht erreichbar seien.
Im Saarland betrafen bzw. betreffen die Maßnahmen unter anderem das Universitätsklinikum des Saarlandes in Homburg, das CaritasKlinikum Saarbrücken und das Klinikum Saarbrücken. Auch die Hochschule für Technik und Wirtschaft des Saarlandes (htw saar) und die Hochschule der Bildenden Künste Saar (HBK Saar) waren betroffen. In Saarbrücken wurden unter anderem das städtische Internetportal sowie Webseiten der Stadtwerke, der Saarbahn und des Zentralen Kommunalen Entsorgungsbetriebs (ZKE) vorübergehendabgeschaltet. Weitere Einschränkungen gab es beim Regionalverband Saarbrücken, Schulwebseiten und Teilen des Onlineangebots des Saarländischen Rundfunks.
Die Abschaltungen erfolgten präventiv, um eine mögliche Ausnutzung der Sicherheitslücken und damit verbundene Angriffe auf die betroffenen Server zu verhindern. Sie bedeuten nicht, dass die jeweiligen Einrichtungen tatsächlich angegriffen wurden. Das BSI schreibt dazu am 21.10.2026 um 23:30 Uhr:
„Zum aktuellen Zeitpunkt sind keine Angriffe mithilfe dieser Schwachstellen bekannt. Konkrete Angriffsindikatoren liegen demnach nicht vor. Betreiber sollten exponierte PHP-Webserver verstärkt auf Auffälligkeiten beobachten.“
Zugleich geht das BSI jedoch von einer „kurzfristigen Ausnutzung auf verwundbaren Systemen“ aus.
Sicherheitsupdates veröffentlicht – sofortiges Handeln erforderlich
Das PHP-Entwicklerteam stellte am 21. Oktober 2026 um 16 Uhr deutscher Zeit Sicherheitsupdates (Patches) für unterschiedliche PHP-Versionen bereit.
Hierzu schreibt das BSI:
„IT-Sicherheitsverantwortliche und Betreiber sollten zu diesem Zeitpunkt umgehend die Patches auf PHP-Webserver einspielen sowie den Patchstatus anhand des Advisories verifizieren bzw. abgleichen (mit php -v).“
Demnach müssen Betreiber ihre PHP-Installationen unverzüglich aktualisieren. Nach Ausführungen des BSI sollten Organisationen dringend die personellen Kapazitäten bereithalten, um unverzüglich auf die Veröffentlichungen zu reagieren.
Ältere PHP-Versionen erhalten teilweise keine regulären Sicherheitsupdates mehr und erfordern gegebenenfalls einen Versionswechsel oder herstellerspezifische Patches.
Bis zur Aktualisierung empfehlt das BSI, gefährdete Systeme vom Internet zu trennen oder deren Erreichbarkeit einzuschränken. Zudem weist das BSI darauf hin, dass die Verwendung einer Web Application Firewall (WAF) eine Ausnutzung verhindern oder erschweren könnte, sofern entsprechende Detektionsmittel für die beiden Schwachstellen zur Verfügung stehen und angewandt werden.
Die PHP-Entwickler betonen ausdrücklich, dass vorübergehende Schutzmaßnahmen ein Sicherheitsupdate nicht vollständig ersetzen können.
Unabhängig davon empfehlt das BSI, den Zugriff auf Webanwendungen restriktiv zu gestalten, die in diesem Zusammenhang betriebene Komponenten umfassend zu härten und durch zusätzliche Schutzmaßnahmen abzusichern.
Zur Prüfung der Kompromittierung führt das BSI aus:
An verschiedenen Stellen im Internet werden zwar bereits angebliche Indicators of Compromise und Hunting Guidances präsentiert. Eine verbindliche Empfehlung dieser kann jedoch erst erfolgen, wenn weitere Details zum Sachverhalt bekannt sind. Bis dahin können IT-Sicherheitsverantwortliche eigenverantwortlich prüfen, ob eine Nutzung dieser Angebote zielführend ist.“
Quellen:
https://www.tagesschau.de/wirtschaft/technologie/it-sicherheit-php-luecke-100.html