Schwerwiegende Sicherheitslücken in der Programmiersprache PHP sorge derzeit für Ausfälle von Behörden-, Klinik- und Polizeiseiten und Universitäten. Auch Zeitungen und Medien sind von der Sicherheitslücke betroffen. Betreiber installieren Notfall-Updates, bis dahin bleiben gefährdete Webseiten offline.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab eine offizielle Cybersicherheitswarnung heraus, sprach von einem großen Bedrohungspotenzial und riet zu sofortigen Sicherheitsupdates.
In Berlin waren zeitweise die Seiten der 12 Bezirksämter mit ihren Presseinformationen offline. Die verlinkten RSS-Feeds wurden daher auch in in dieser Zeitung nicht ausgespielt.
PHP ist die Basis für viele Anwendungen im Internet. Von einfachen Blogs, Vereinsseiten, digitalen Zeitungen oder große Nachrichtenportalen bis hin zu komplexen Onlineshops oder Content-Management-Systemen wie WordPress. Weltweit werden rund 400 bis 500 Millionen Webseiten auf Basis von PHP betrieben.
Sicherheitslücken unter dem Namen „PHP2Shell“
Sicherheitsexperten warnten vor gleich zwei kritischen Schwachstellen in der PHP-Software. Sie wurden unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert. Das Bundesamt für Sicherheit in der Informationstechnik veröffentlichte eine offizielle Cybersicherheitswarnung. Die Warnung (Aktenzeichen BITS-H Nr. 2026-297981-1032) ordnet das Risiko mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein.
Die Entwickler des PHP-Projektes haben am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache veröffentlicht, in denen die Sicherheitslücken geschlossen wurden.
Inzwischen wurden viele Webseiten wieder freigeschaltet. Die 12 digitalen Bezirkszeitungen wie die Berlin-Mitte Zeitung waren nicht unmittelbar betroffen.
Weitere Informationen:
BSI: PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit
