PHP-Lücke: Webseiten nach Sicherheitsupdate wieder erreichbar

PHP-Updates bringen abgeschaltete Webseiten zurück

In Deutschland sind nahezu alle vorsorglich abgeschalteten Webseiten nach Sicherheitsupdates wieder erreichbar, darunter Angebote von Ministerien, Behörden und der Berliner Charité. Die Gefahr gilt jedoch nicht als gebannt, weil automatisierte Angriffe bereits vor der offiziellen Bekanntgabe der PHP-Schwachstelle begonnen hatten.

Angriffe erreichten schnell Millionenhöhe

Nach Angaben von Cloudflare starteten die Angriffsversuche rund zehn Stunden vor der Veröffentlichung der Warnung. Ihre Zahl stieg danach innerhalb kurzer Zeit auf Millionen.

BSI meldet bislang keine erfolgreichen Angriffe

Das Bundesamt für Sicherheit in der Informationstechnik und das Digitalministerium teilten mit, dass bisher keine erfolgreichen Angriffe auf die Bundesverwaltung oder die regulierte Wirtschaft gemeldet worden seien. Fachleute warnen zugleich, dass unentdeckte Manipulationen oder abgeflossene Zugangsdaten erst bei einer nachträglichen Untersuchung sichtbar werden könnten.

Prüfung muss bis zum 17. Oktober zurückreichen

Administratoren sollen ihre Logdaten rückwirkend bis zum 17. Oktober 2026 auswerten. An diesem Tag registrierte ein Amazon-Honeypot erste Angriffsversuche.

Zusätzlich sollen Betreiber API-Keys und Zugangsdaten erneuern, Web Application Firewalls aktualisieren und ein vollständiges Inventar der eingesetzten PHP-Komponenten erstellen. Das Einspielen des Updates allein reicht nach Einschätzung des Check-Point-Experten Thomas Boele nicht aus.

Für Nutzer besteht meist kein Handlungsbedarf

Private Internetnutzer müssen normalerweise nichts unternehmen. Auch Kunden professioneller Hostinganbieter sind in der Regel nicht selbst für die Installation der Sicherheitsupdates verantwortlich.

Die PHP-Krise zeigt, wie stark die weltweite Internet-Infrastruktur von einer einzelnen, weit verbreiteten Programmiersprache abhängt. PHP wird vor allem für dynamische Webseiten und Webanwendungen eingesetzt; dadurch kann eine Schwachstelle nicht nur einzelne Auftritte, sondern auch Verwaltungs-, Klinik- und Unternehmenssysteme betreffen.

Die schnelle Installation der Sicherheitsupdates reduziert das unmittelbare Risiko, beseitigt aber nicht automatisch mögliche Spuren früherer Angriffe. Entscheidend ist deshalb die rückwirkende Auswertung der Protokolle. Der in der dpa-Meldung genannte 17. Oktober markiert dabei den frühesten Zeitpunkt, ab dem Administratoren ihre Systeme besonders genau prüfen sollten.

Nach dem Update beginnt die Aufarbeitung

Für Betreiber bedeutet das eine zusätzliche Belastung: Sie müssen PHP-Versionen und betroffene Komponenten erfassen, Logdaten sichern, Zugangsdaten und API-Schlüssel austauschen sowie Schutzsysteme wie Web Application Firewalls aktualisieren. Bei komplexen Netzen kann diese Untersuchung Wochen oder Monate dauern.

Für private Nutzer bleibt die Lage anders. Wer lediglich Webseiten besucht oder einen professionellen Hostingdienst nutzt, muss normalerweise keine technischen Maßnahmen ergreifen. Betroffene Organisationen müssen dagegen auch dann weiter überwachen und dokumentieren, wenn ihre Angebote wieder erreichbar sind. Bislang gemeldete fehlende Angriffe auf Bundesverwaltung und regulierte Wirtschaft bedeuten vor allem, dass die laufende Prüfung keine bestätigten Fälle ergeben hat; sie ersetzen keine nachträgliche Sicherheitsanalyse.

Pressespiegel: Einigkeit, Unterschiede und offene Fragen

NDR: „IT-Experte zu PHP: "Kriminelle können sehr viel Schaden anrichten"“ (22.10.2026)

Der Beitrag habe die vorsorgliche Abschaltung vieler Webseiten und die Gefahr durch die Schwachstelle thematisiert. Sein Schwerpunkt liege auf der Einschätzung eines IT-Experten zu möglichen Schäden, während die dpa-Meldung zusätzlich die rückwirkende Protokollprüfung und den Austausch von Zugangsdaten hervorhebe.

WDR: „Nach BSI-Warnung: Keine Cyberattacken festgestellt - Zahlreiche Webseiten in NRW wieder online“ (22.10.2026)

Der WDR habe über wieder erreichbare Webseiten in Nordrhein-Westfalen und bislang nicht festgestellte Cyberattacken berichtet. Damit bestätige der Beitrag die Entspannung nach den Updates, während als offene Aufgabe die Suche nach möglichen früheren Kompromittierungen bleibe.

Die Beiträge stimmten bei der vorsorglichen Abschaltung, den verfügbaren Updates und der schrittweisen Wiederinbetriebnahme überein. Unterschiede ergäben sich vor allem beim regionalen Fokus und bei der Gewichtung der verbleibenden Ermittlungs- und Prüfaufgaben.