21. Oktober 2026, 18:02 Uhr | Lesezeit: 2 Minuten
Eine kritische Sicherheitslücke in PHP könnte weltweit unzählige Webseiten und Online-Dienste gefährden. Angreifer könnten verwundbare Server übernehmen und sensible Daten erbeuten.
PHP2Shell macht Server angreifbar
Hinter der als „PHP2Shell“ bezeichneten Gefahr stecken zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Das Problem ist besonders brisant, weil PHP auf zahlreichen Webseiten zum Einsatz kommt. Über die Sicherheitslücken könnten Cyberkriminelle aus der Ferne eigenen Schadcode auf verwundbaren Servern ausführen und dadurch die Kontrolle über die Systeme erlangen.
Damit wären verschiedene Angriffe denkbar: Kriminelle könnten Daten von Nutzern stehlen, Webseiten manipulieren oder gekaperte Server für weitere Attacken einsetzen. Zusätzlich verschärft wird die Situation dadurch, dass Informationen zu den Schwachstellen vorzeitig öffentlich wurden. Experten befürchten deshalb, dass Angreifer automatisiert nach noch ungeschützten Servern suchen könnten.
Auch interessant: So lernt man Programmieren
Bundesbehörde warnt erneut vor kritischen Lücken in Microsoft Exchange
Android-Nutzer sollten Sicherheitsupdate installieren – oder Bluetooth ausschalten
Behörden nehmen Internetseiten vom Netz
Die Sicherheitswarnung hat bereits erste praktische Folgen. Kommunen, Behörden, Universitäten und Krankenhäuser haben teilweise Online-Angebote vorsorglich abgeschaltet. Damit soll verhindert werden, dass Angreifer mögliche Schwachstellen in öffentlich erreichbaren Webservern ausnutzen und von dort auf weitere Systeme zugreifen.
Ein Beispiel ist Mainz. Dort wurden das städtische Portal mainz.de und weitere Online-Dienste vorübergehend vom Netz genommen. Auswirkungen auf den normalen Behördenbetrieb soll das möglichst nicht haben: Ämter und Bürgerbüros bleiben telefonisch sowie per E-Mail erreichbar. Bereits vereinbarte Termine sollen ebenfalls wie geplant stattfinden.
Was Webseitenbetreiber jetzt tun sollten
Für Betreiber von Webseiten, Onlineshops und Unternehmensplattformen besteht dringender Handlungsbedarf. Verfügbare Sicherheitsupdates für PHP und betroffene Systeme sollten möglichst schnell installiert werden. Wer seine Server nicht selbst verwaltet, sollte sich an den zuständigen Administrator, IT-Dienstleister oder Hosting-Anbieter wenden.
Normale Internetnutzer müssen dagegen nicht ihre Smartphones oder Computer aktualisieren. Die Schwachstellen betreffen die Server, auf denen Webseiten laufen. Dennoch können Verbraucher indirekt betroffen sein. Möglich sind etwa vorübergehende Ausfälle von Online-Diensten. Werden ungeschützte Server erfolgreich angegriffen, könnten zudem dort gespeicherte Daten in die Hände von Cyberkriminellen gelangen.