Eine schwerwiegende Sicherheitslücke in der weitverbreiteten Programmiersprache PHP sorgt weltweit für erhebliche Unruhe. Millionen Webseiten könnten betroffen sein, Regierungen schalten vorsorglich Onlinedienste ab und Unternehmen arbeiten unter Hochdruck an Sicherheitsupdates. IT-Experten sprechen von einem bislang beispiellosen Ausmaß. Besonders kurios: Selbst Cyberkriminelle bringen offenbar ihre eigenen Plattformen in Sicherheit. Während die großen Technologieunternehmen ihre Systeme absichern, drohen kleinere Betriebe im digitalen Ausnahmezustand zurückzubleiben.
22. Oktober 2026
Wenn das Fundament des Internets plötzlich Risse bekommt
Es ist der Albtraum vieler IT-Verantwortlicher: Eine Sicherheitslücke taucht ausgerechnet in einer Technologie auf, die weltweit von unzähligen Internetseiten genutzt wird.
Genau das geschieht derzeit mit PHP.
Die Programmiersprache gehört seit Jahrzehnten zu den wichtigsten technischen Grundlagen des Internets. Sie kommt unter anderem bei zahlreichen Onlineshops, Content-Management-Systemen und dynamischen Webseiten zum Einsatz.
Nach Angaben des Cybersicherheitsunternehmens Wiz basiert ein erheblicher Teil aller Webseiten weltweit auf PHP. In der vorliegenden Berichterstattung ist von rund 70 Prozent die Rede.
Die nun bekannt gewordenen kritischen Schwachstellen werden unter der Bezeichnung „php2shell“ diskutiert.
Unter bestimmten Voraussetzungen könnten Angreifer dadurch unbefugt Programmcode auf betroffenen Servern ausführen – möglicherweise sogar ohne vorherige Anmeldung.
Die Folgen wären potenziell gravierend. Ein erfolgreicher Angriff könnte es Cyberkriminellen ermöglichen, die Kontrolle über verwundbare Systeme zu übernehmen, Daten auszulesen oder Anwendungen zu manipulieren.
Ob und in welchem Umfang solche Angriffe bereits erfolgreich durchgeführt wurden, ist allerdings noch nicht abschließend geklärt.
Experten sprechen von einer beispiellosen Dimension
Wie ernst die Lage eingeschätzt wird, zeigen die Reaktionen führender Cybersicherheitsexperten.
Ollie Whitehouse, Technologiechef des britischen National Cyber Security Centre, bezeichnete das Ausmaß der Sicherheitslücke als beispiellos.
Er geht davon aus, dass die Auswirkungen weltweit zu spüren sein werden.
Allerdings gab es nach seinen Angaben zunächst keine bestätigten Hinweise auf erfolgreiche Einbrüche in betroffene Systeme.
Eine Entwarnung ist das nicht.
Denn zwischen dem Bekanntwerden einer Sicherheitslücke und dem Nachweis eines erfolgreichen Angriffs kann erhebliche Zeit liegen.
Auch die Cybersicherheitsexpertin Haya Schulmann vom Fraunhofer-Umfeld bezeichnete den Vorfall als einen der schwerwiegendsten der vergangenen zwei Jahre.
Besonders problematisch sei, dass moderne KI-Technologien die technischen Hürden für die Ausnutzung von Sicherheitslücken senken könnten.
Für Unternehmen bedeutet das: Abwarten ist keine besonders gute Strategie.
Microsoft-Chef zeigt sich alarmiert
Auch bei Microsoft hat der Vorfall Aufmerksamkeit auf höchster Ebene ausgelöst.
Konzernchef Satya Nadella erklärte bei einer Veranstaltung in Köln, er habe etwas Vergleichbares seit sehr langer Zeit nicht mehr erlebt.
Seine Worte verdeutlichen, wie stark die internationale IT-Branche derzeit gefordert ist.
Nadella verwies insbesondere darauf, wie eng unterschiedliche Technologien und Systeme miteinander verbunden sind.
Denn eine Sicherheitslücke in einer weitverbreiteten Programmiersprache betrifft möglicherweise nicht nur einzelne Webseiten.
Sie kann Auswirkungen auf ganze digitale Dienstleistungsketten haben.
Ein Onlineshop benötigt Datenbanken, Zahlungsdienste und Schnittstellen zu anderen Anwendungen. Eine Behörde betreibt Bürgerportale, interne Verwaltungsprogramme und externe Dienstleistungsangebote.
Wenn eine grundlegende technische Komponente plötzlich als verwundbar gilt, müssen unter Umständen zahlreiche miteinander verbundene Systeme überprüft werden.
Millionen Systeme noch ohne Sicherheitsupdate
Besonders besorgniserregend ist die Geschwindigkeit, mit der die notwendigen Sicherheitskorrekturen weltweit umgesetzt werden.
Nach Angaben des Sicherheitsunternehmens Infrawatch war am Donnerstagnachmittag zunächst nur ein kleiner Teil der betroffenen Systeme aktualisiert.
In Großbritannien stieg die gemeldete Quote bereits geschützter Systeme zwischen dem Vormittag und Nachmittag von 3,10 auf 5,34 Prozent.
Weltweit lag die entsprechende Quote zum genannten Zeitpunkt bei lediglich 4,21 Prozent.
Diese Zahlen zeigen, wie groß die Herausforderung ist.
Zwar reagieren große Technologieunternehmen und professionelle Hostinganbieter offenbar schnell, doch Millionen kleinere Installationen könnten noch verwundbar sein.
Dabei ist zu beachten, dass solche Schätzungen auf technischen Erhebungen beruhen und nicht zwangsläufig sämtliche betroffenen Systeme vollständig erfassen.
Dennoch ist die Botschaft eindeutig: Die Bereitstellung eines Sicherheitsupdates bedeutet noch lange nicht, dass es überall installiert wurde.
Deutsche Regierungsseiten vorsorglich abgeschaltet
Auch Deutschland ist von den Auswirkungen betroffen.
Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik wurden zeitweise Webseiten der Bundesverwaltung vorsorglich vom Netz genommen.
Am Donnerstagnachmittag waren diese überwiegend wieder erreichbar.
Bis dahin lagen der Behörde keine Meldungen über erfolgreich kompromittierte IT-Systeme innerhalb der Bundesverwaltung vor.
Allerdings schloss sie erfolgreiche Angriffe nicht grundsätzlich aus.
Die vorübergehenden Abschaltungen sollten offenbar verhindern, dass potenziell verwundbare Systeme während der Installation notwendiger Sicherheitsupdates öffentlich erreichbar bleiben.
Für Nutzer mag ein nicht erreichbares Behördenportal zunächst ärgerlich sein.
Aus Sicht der IT-Sicherheit kann eine kontrollierte Abschaltung jedoch sinnvoller sein als das Risiko, sensible Systeme ungeschützt weiterzubetreiben.
Großbritannien meldet zahlreiche Ausfälle
In Großbritannien waren die Auswirkungen besonders deutlich zu spüren.
Nach Angaben der Regierung standen zeitweise 32 staatliche Onlinedienste nicht zur Verfügung. Vier weitere waren nur eingeschränkt erreichbar.
Die Behörden erklärten, dass ein großer Teil dieser Einschränkungen auf vorsorgliche Sicherheitsmaßnahmen zurückzuführen sei.
Das britische National Cyber Security Centre hatte bereits vor der öffentlichen Bekanntgabe der Schwachstellen umfangreiche Warnungen verschickt.
Nach Regierungsangaben erhielten rund 50.000 Unternehmen und Organisationen entsprechende Hinweise.
Ziel war es, möglichst frühzeitig auf die Sicherheitsprobleme aufmerksam zu machen und notwendige Gegenmaßnahmen vorzubereiten.
Besonders interessant ist dabei, dass die britische Regierung nach eigenen Angaben bereits in der Vorwoche durch OpenAI auf die mögliche Schwachstelle hingewiesen worden war.
Die ursprünglich für Ende Oktober vorgesehene Veröffentlichung der Sicherheitskorrekturen wurde nach einem Informationsleck vorgezogen.
Von Frankreich bis Japan: Die Auswirkungen reichen um den Globus
Die Probleme beschränken sich keineswegs auf Europa.
In Frankreich setzte der Telekommunikationskonzern Orange zeitweise den Zugang zu bestimmten Diensten aus, um Sicherheitsupdates einzuspielen.
Auch in Finnland wurden staatliche IT-Systeme vorsorglich abgeschaltet und aktualisiert.
In Japan reagierten mehrere große Unternehmen mit Schutzmaßnahmen.
Dazu gehörten nach den vorliegenden Angaben die Fluggesellschaft ANA, der Getränkekonzern Asahi und der Versicherungskonzern Tokio Marine.
In China forderte der Cloudanbieter Tencent Cloud seine Kunden dazu auf, betroffene PHP-Versionen schnellstmöglich zu aktualisieren.
Auch Kanada meldete vorübergehende Einschränkungen staatlicher Onlineangebote.
Die kanadische Regierung erklärte jedoch, dass bislang keine Hinweise auf eine erfolgreiche Kompromittierung ihrer Systeme oder Datenbestände vorlägen.
Damit zeichnet sich ein weltweites Bild ab: Nicht überall wurden erfolgreiche Hackerangriffe festgestellt, doch zahlreiche Organisationen schränken aus Sicherheitsgründen ihre digitalen Angebote ein.
Besonders kurios: Selbst Hacker bekommen kalte Füße
Eine der ungewöhnlichsten Begleiterscheinungen des Vorfalls betrifft ausgerechnet die Cyberkriminellen selbst.
Nach Beobachtungen von Sicherheitsexperten sind auch einschlägige Hackerforen von den Problemen betroffen.
Einige dieser Plattformen wurden offenbar ebenfalls abgeschaltet, um sie gegen mögliche Angriffe abzusichern.
Das hat beinahe etwas Ironisches.
Während sich Unternehmen, Behörden und Privatnutzer vor Cyberkriminellen schützen wollen, müssen plötzlich auch die Betreiber krimineller Internetplattformen ihre eigenen Systeme gegen fremde Angreifer verteidigen.
Denn auch Hackerforen nutzen verbreitete Webtechnologien.
Eine Sicherheitslücke unterscheidet schließlich nicht zwischen legalen und illegalen Betreibern.
Für Cyberkriminelle kann eine Kompromittierung besonders gefährlich werden. Werden interne Daten offengelegt, könnten ihre Identitäten oder Geschäftsstrukturen bekannt werden.
So mancher Hacker dürfte sich derzeit deshalb ausnahmsweise nicht darüber ärgern, dass andere ihre Webseiten absichern, sondern darüber, dass er selbst dringend ein Update installieren muss.
Werkstattbesitzer muss plötzlich wieder zu Papier und Stift greifen
Wie abhängig inzwischen selbst kleinere Unternehmen von digitalen Systemen sind, zeigt ein Beispiel aus Großbritannien.
Ein Werkstattbesitzer aus Chepstow konnte zeitweise die britischen Fahrzeugprüfungen nicht wie gewohnt online bearbeiten.
Stattdessen musste er auf Papier und Stift zurückgreifen.
Für einen kurzen Moment fühlte sich die digitale Welt damit offenbar wieder wie eine Autowerkstatt aus vergangenen Jahrzehnten an.
Nachdem die Systeme wieder funktionierten, musste das Personal die zwischenzeitlich handschriftlich erfassten Prüfungen nachträglich elektronisch eingeben.
Das bedeutete zusätzliche Arbeit und längere Arbeitszeiten.
Auch andere Dienste waren betroffen. So meldeten Nutzer Schwierigkeiten beim Zugriff auf Computerspiele und Onlinekonten.
Bei einer britischen Fitnessstudio-Kette war die App zeitweise nicht verfügbar, weshalb Mitglieder ihre Kurse direkt vor Ort buchen mussten.
Solche Beispiele zeigen, dass eine globale Sicherheitslücke nicht nur IT-Abteilungen beschäftigt, sondern auch den Alltag ganz gewöhnlicher Menschen beeinträchtigen kann.
Kleine Unternehmen besonders gefährdet
Während internationale Konzerne häufig über große IT-Abteilungen verfügen, sind kleinere Unternehmen auf externe Dienstleister angewiesen.
Das kann in einer akuten Sicherheitskrise problematisch werden.
Wenn zahlreiche Kunden gleichzeitig Sicherheitsupdates benötigen, entstehen Engpässe.
Hinzu kommt, dass viele kleinere Webseitenbetreiber gar nicht genau wissen, welche Programmiersprachen und Softwareversionen auf ihren Servern eingesetzt werden.
Experten empfehlen deshalb, unverzüglich Kontakt zum jeweiligen Hostinganbieter oder IT-Dienstleister aufzunehmen.
Dabei sollte geklärt werden, ob die eigene Webseite betroffen ist und welche Updates notwendig sind.
Ebenso wichtig sind aktuelle Datensicherungen.
Diese sollten nicht nur vorhanden sein, sondern sich im Ernstfall auch tatsächlich wiederherstellen lassen.
Darüber hinaus ist eine fortlaufende Überwachung auf verdächtige Aktivitäten sinnvoll.
Denn selbst nach der Installation eines Updates muss geprüft werden, ob möglicherweise bereits vorher unbefugte Zugriffe stattgefunden haben.
Sicherheitsbehörde in Hongkong warnt vor aktiven Angriffen
Besonders alarmierend sind Hinweise aus Hongkong.
Das dortige Computer Emergency Response Team warnte vor mehreren kritischen PHP-Schwachstellen und berichtete, dass diese bereits aktiv ausgenutzt würden.
Die Behörde stufte das Risiko als extrem hoch ein.
Betroffenen Organisationen wurde empfohlen, sämtliche gefährdeten Systeme unverzüglich zu aktualisieren.
Wo eine sofortige Installation der Sicherheitskorrekturen nicht möglich sei, sollten öffentlich erreichbare Anwendungen vorübergehend vom Internet getrennt werden.
Die Hinweise auf aktive Ausnutzungsversuche stehen dabei nicht zwingend im Widerspruch zu den Angaben anderer Behörden, wonach bislang keine erfolgreichen Einbrüche bestätigt wurden.
Zwischen einem beobachteten Angriffsversuch und einer tatsächlich erfolgreichen Kompromittierung besteht ein wesentlicher Unterschied.
Die Lage bleibt damit dynamisch.
Fazit: Das Internet zeigt seine verwundbare Seite
Die aktuelle PHP-Sicherheitskrise verdeutlicht, wie abhängig die digitale Welt von einigen wenigen grundlegenden Technologien ist.
Eine schwerwiegende Schwachstelle kann ausreichen, um weltweit Unternehmen, Behörden und Millionen Internetnutzer zu beschäftigen.
Auch wenn zunächst vielerorts keine erfolgreichen Hackerangriffe bestätigt wurden, sind die möglichen Auswirkungen erheblich.
Besonders gefährdet sind kleinere Betreiber, die notwendige Updates nicht schnell genug installieren können oder ihre technische Infrastruktur nur unzureichend kennen.
Die wichtigste Aufgabe besteht deshalb darin, gefährdete Systeme zu identifizieren, Sicherheitskorrekturen einzuspielen und mögliche Angriffsversuche konsequent zu überwachen.
Der Vorfall zeigt zugleich eine bemerkenswerte Wahrheit über das moderne Internet: Ob Behörde, Weltkonzern, kleiner Onlineshop oder Hackerforum – wenn eine grundlegende Technologie Sicherheitsprobleme bekommt, sitzen plötzlich alle im selben digitalen Boot.
Und diesmal scheint sogar den Cyberkriminellen klar geworden zu sein, dass es manchmal besser ist, die eigene Webseite abzuschalten, bevor jemand anderes auf die Idee kommt, sie zu übernehmen.
Kommentar hinterlassen