PHP2Shell: Zwei Lücken bedrohen Webseiten weltweit

PHP-Sicherheitslücke setzt Webseiten weltweit unter Druck

Eine neu entdeckte Sicherheitslücke in der Programmiersprache PHP bedroht weltweit Blogs, Onlineshops, Nachrichtenportale und andere Onlinedienste. Nach der Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) haben mehrere Kommunen und Behörden ihre Webangebote vorsorglich abgeschaltet.

BSI stuft die Lage als kritisch ein

Das BSI bewertet die Gefahr in seiner Warnung mit der Stufe „3 / Orange“ als außerordentlich hoch und verweist auf ein herausragendes Bedrohungspotenzial. Wenn Sicherheitsupdates nicht kurzfristig installiert werden können, empfiehlt das Amt als mögliche Zwischenmaßnahme die Trennung betroffener Webserver vom Internet.

Unter dem Namen „PHP2Shell“ geht es um die Schwachstellen CVE-2026-109618 und CVE-2026-109619. Angreifer können demnach ohne vorherige Anmeldung aus der Ferne eigenen Schadcode ausführen und dadurch die Kontrolle über einen Server übernehmen.

Kommunen nehmen Internetangebote vom Netz

Mehrere Kommunen, Behörden, Universitäten und Krankenhäuser reagierten auf die Warnung und schalteten Online-Angebote vorübergehend ab. Die Landeshauptstadt Mainz deaktivierte mehrere städtische Internetdienste und ihr zentrales Portal mainz.de, während Ämter und Bürgerbüros telefonisch und per E-Mail erreichbar blieben.

Serverübernahme durch Schadcode möglich

Eine erfolgreiche Ausnutzung kann den Zugriff auf Webseiten, Datenbanken und Kundendaten ermöglichen. Zudem könnten Angreifer die betroffene Infrastruktur für weitere Cyberattacken missbrauchen; wegen vorab veröffentlichter Details wird mit automatisierten Angriffen auf ungeschützte Server gerechnet.

Patch für Mittwochnachmittag angekündigt

Die PHP-Entwickler kündigten für Mittwoch um 16 Uhr ein Sicherheitsupdate an. Betreiber sollen ihre PHP-Umgebung und eingesetzte Content-Management-Systeme unverzüglich aktualisieren oder den betroffenen Server bis zur Installation des Patches vom Netz trennen.

Für Nutzer besteht kein direkter Handlungsbedarf

Die Sicherheitslücke betrifft nach der Meldung die Server im Hintergrund und nicht die Endgeräte von Menschen, die mit Smartphone oder PC im Internet surfen. Verbraucher können dennoch durch Ausfälle wichtiger Onlinedienste oder Datenabflüsse auf nicht rechtzeitig geschützten Webseiten betroffen sein.

PHP gehört zu den meistgenutzten Technologien für serverseitige Webanwendungen. Die Bedeutung der Schwachstellen reicht deshalb über einzelne Webseiten hinaus: Betroffen sein können auch zentrale Verwaltungs-, Shop- und Redaktionssysteme, sofern sie eine verwundbare PHP-Umgebung einsetzen.

Besonders kritisch ist die Möglichkeit der Ausführung eigenen Codes aus der Ferne ohne vorherige Anmeldung. Gelingt ein Angriff, kann der Server nicht nur ausfallen; Angreifer könnten auch Daten aus angeschlossenen Datenbanken stehlen, Schadsoftware einschleusen oder den kompromittierten Rechner für weitere Angriffe nutzen.

Patchen oder vorübergehend abschalten

Für Betreiber entscheidet sich die Lage an der technischen Reaktionsgeschwindigkeit. Sicherheitsupdates müssen nicht nur für PHP, sondern auch für darauf aufbauende Content-Management-Systeme, Erweiterungen und Serverkomponenten geprüft werden. Nicht mehr unterstützte Versionen erhöhen das Risiko, weil dafür häufig keine regulären Korrekturen mehr bereitstehen.

Die vorsorgliche Abschaltung kommunaler Portale zeigt, welche praktische Folge eine hohe Risikoeinstufung haben kann: Digitale Dienste sind vorübergehend nicht erreichbar, während Telefon- und E-Mail-Kanäle weiterlaufen. Für Bürgerinnen und Bürger entsteht vor allem ein indirektes Risiko durch Ausfälle und mögliche Datenabflüsse; ihre privaten Endgeräte sind nach der vorliegenden Meldung nicht das primäre Angriffsziel.

Entscheidend ist die Verteilung des Updates

Mit dem angekündigten Patch beginnt die nächste kritische Phase. Entscheidend wird sein, wie schnell Hosting-Anbieter, Unternehmen und Behörden die korrigierten Versionen ausrollen und ob bereits kompromittierte Systeme erkannt werden. Betreiber sollten nach der Aktualisierung deshalb Protokolle und Zugänge prüfen und bei Auffälligkeiten ihre zuständigen Sicherheitsstellen einschalten.

Pressespiegel: Einigkeit, Unterschiede und offene Fragen

Focus: „Gravierende Sicherheitslücke bedroht weltweit Webseiten“ (21.10.2026)

Der Beitrag bestätigt die beiden als PHP2Shell bezeichneten Schwachstellen und hebt neben der möglichen Serverübernahme die vorsorgliche Abschaltung von Mainzer Internetdiensten hervor. Zusätzlich ordnet er die Lage als akute Notfallsituation für Betreiber weltweit ein.

ntv: „Kritische Fehler in Programmiersprache PHP machen Websites weltweit anfällig“ (21.10.2026)

Der Artikel bestätigt die globale Bedeutung von PHP, die Risiken der Remote-Code-Ausführung und die vorsorgliche Offline-Schaltung einzelner Angebote. Einen besonderen Schwerpunkt legt er auf die angekündigte Aktualisierung und die Auswirkungen für Betreiber und Nutzer.

Beide Beiträge stimmen beim technischen Risiko und beim Zeitdruck für Betreiber überein. Unterschiede liegen vor allem in der Gewichtung von kommunalen Abschaltungen, Update-Verteilung und den indirekten Folgen für Verbraucher; offen bleibt, wie viele Systeme bereits angegriffen wurden.