PHP2Shell: BSI warnt vor Serverübernahme durch PHP-Lücke

PHP-Schwachstellen setzen Webseiten weltweit unter Druck

Eine neu entdeckte Sicherheitslücke in der weit verbreiteten Programmiersprache PHP gefährdet weltweit Blogs, Onlineshops, Nachrichtenportale und andere Onlinedienste. Das BSI stuft die Lage als außerordentlich hoch ein und fordert bei fehlenden Updates notfalls die vorübergehende Trennung betroffener Webserver vom Internet.

BSI verlangt sofortige Gegenmaßnahmen

Das Bundesamt für Sicherheit in der Informationstechnik führt die Warnung unter dem Aktenzeichen BITS-H Nr. 2026-297981-1032 und vergibt die Warnstufe „3 / Orange“. Damit droht eine massive Beeinträchtigung des Regelbetriebs, wenn Betreiber nicht unverzüglich reagieren.

Betroffen ist die technische Grundlage zahlreicher Content-Management-Systeme. Neben WordPress setzen auch Moodle, Joomla!, Typo3 und Drupal auf PHP; allein mit WordPress werden nach Schätzungen weltweit zwischen 400 und 500 Millionen Webseiten betrieben.

PHP2Shell ermöglicht Serverübernahme

Unter dem Namen „PHP2Shell“ warnen Sicherheitsexperten vor den beiden kritischen Schwachstellen CVE-2026-109618 und CVE-2026-109619. Angreifer können ohne vorherige Anmeldung aus der Ferne eigenen Schadcode ausführen und dadurch die vollständige Kontrolle über betroffene Server erlangen.

Mögliche Folgen sind der Zugriff auf sensible Datenbanken und Kundendaten sowie die Nutzung der kompromittierten Infrastruktur für weitere Cyberattacken. Weil detaillierte Informationen vorzeitig öffentlich wurden, rechnen Branchenexperten mit automatisierten Skripten, die ungeschützte Server schnell aufspüren könnten.

Behörden nehmen Angebote vorsorglich vom Netz

Mehrere Bundesländer, Kommunen und Behörden haben Online-Angebote vorübergehend abgeschaltet. Auch Universitäten und Krankenhäuser reagierten auf die Warnung, um mögliche Angriffsflächen zu verringern.

Updates schließen die Lücken

Die Entwickler des PHP-Projekts veröffentlichten am Mittwochnachmittag aktualisierte Versionen, in denen die Sicherheitslücken geschlossen sind. Betreiber sollen die Patches für PHP und ihre Content-Management-Systeme unverzüglich einspielen und veraltete, nicht mehr unterstützte Versionen isolieren oder aktualisieren.

Für normale Internetnutzer besteht beim Surfen auf Smartphone oder PC kein unmittelbarer Handlungsbedarf, weil die Schwachstelle auf den Servern liegt. Indirekte Folgen wie Ausfälle von Onlinediensten oder Datenabflüsse auf ungeschützten Webseiten bleiben jedoch möglich.

PHP gehört zu den zentralen technischen Grundlagen des Webs. Die Programmiersprache verarbeitet auf vielen Servern dynamische Inhalte, etwa bei Anmeldungen, Warenkörben, Suchfunktionen und Redaktionssystemen. Eine Schwachstelle im Kern kann deshalb nicht nur einzelne Webseiten, sondern ganze technische Lieferketten betreffen.

Warum die Lücke besonders kritisch ist

Entscheidend ist die Möglichkeit zur Ausführung eigenen Schadcodes aus der Ferne ohne vorherige Anmeldung. Gelingt ein Angriff, reicht die Folge von der Manipulation einzelner Inhalte bis zum Zugriff auf Datenbanken, Zugangsdaten und weitere Systeme. Besonders gefährdet sind Betreiber, die veraltete oder nicht mehr unterstützte PHP-Versionen einsetzen und Updates nicht zentral verwalten.

Der Zeitdruck entsteht zusätzlich dadurch, dass technische Details vor dem flächendeckenden Einspielen der Korrekturen bekannt wurden. Solche Informationen erleichtern die Entwicklung automatisierter Angriffe. Für Betreiber bedeutet das, nicht nur PHP selbst zu aktualisieren, sondern auch Plugins, Themes, Schnittstellen, Zugangsdaten und Protokolle auf Auffälligkeiten zu prüfen.

Folgen für Behörden und Nutzer

Die vorsorgliche Abschaltung einzelner Online-Angebote zeigt, dass Sicherheitsmaßnahmen kurzfristig die digitale Erreichbarkeit beeinträchtigen können. Bürger können dadurch vorübergehend auf Telefon, E-Mail oder persönliche Termine ausweichen müssen. Für private Nutzer besteht der Handlungsbedarf vor allem indirekt: Entscheidend ist, ob ein besuchter Dienst rechtzeitig geschützt wurde und ob ein Betreiber im Fall eines Eindringens Daten abhandengekommen sind.

Mit den aktualisierten PHP-Versionen steht ein zentraler Abhilfeweg bereit. Die praktische Aufgabe liegt nun bei Hosting-Anbietern, Behörden und Unternehmen: Sie müssen die betroffenen Systeme identifizieren, die Updates testen und einspielen sowie danach kontrollieren, ob Angriffe bereits stattgefunden haben. Erst diese Kombination aus Patchen, Überwachung und gegebenenfalls Isolation senkt das Risiko nachhaltig.

Pressespiegel: Einigkeit, Unterschiede und offene Fragen

Focus: „Gravierende Sicherheitslücke bedroht weltweit Webseiten“ (21.10.2026)

Der Beitrag bestätige die Gefahr für PHP-basierte Webseiten und beschreibe mögliche Serverübernahmen sowie den Zeitdruck nach der Veröffentlichung technischer Details. Als konkretes Beispiel nenne er die vorsorgliche Abschaltung mehrerer Internetdienste der Stadt Mainz.

n-tv: „Kritische Fehler in Programmiersprache PHP machen Websites weltweit anfällig“ (21.10.2026)

Der Artikel ordne die Schwachstellen als weltweites Problem für Webseiten und Onlinedienste ein und hebe hervor, dass Angreifer bereits versuchten, sie auszunutzen. Anders als der Focus-Bericht stelle n-tv den Aufruf in den Vordergrund, betroffene Angebote vorübergehend offline zu nehmen; offen bleibe, wie viele Systeme bereits angegriffen wurden.

Beide Beiträge seien sich bei der hohen Dringlichkeit, der Bedeutung von PHP und der Notwendigkeit schneller Updates einig. Unterschiede gebe es vor allem beim Schwerpunkt: Der eine Bericht veranschauliche die Folgen anhand von Mainz, der andere betone die laufenden Angriffsversuche und die Offline-Empfehlung.