Websites plötzlich offline: Das steckt hinter den PHP-Lücken
Zwei kritische Sicherheitslücken in der weit verbreiteten Programmiersprache PHP sorgen international für Aufsehen. Auch in Österreich wurden zahlreiche Websites vorsorglich vom Netz genommen. Betroffen waren unter anderem Internetauftritte von Behörden und Bildungseinrichtungen. Die unter dem Namen „PHP2Shell“ zusammengefassten Schwachstellen ermöglichen unter bestimmten Voraussetzungen schwerwiegende Angriffe auf Webserver. Inzwischen stehen Sicherheitsupdates zur Verfügung.
Darum sind die PHP-Lücken so gefährlich
Die beiden Schwachstellen werden als CVE-2026-109618 und CVE-2026-109619 geführt. Beide erhielten eine Bewertung von 9,2 von maximal 10 Punkten und gelten damit als kritisch.
Unter bestimmten Voraussetzungen könnten nicht authentifizierte Angreifer aus der Ferne Schadcode auf verwundbaren Servern ausführen. Eine der Schwachstellen kann darüber hinaus das Auslesen von Speicherinhalten ermöglichen.
Das Problem ist besonders relevant, weil PHP weltweit auf einer großen Zahl von Webservern eingesetzt wird. Die Programmiersprache arbeitet häufig im Hintergrund von Websites und Webanwendungen. Dadurch können auch Dienste betroffen sein, bei denen Nutzer auf den ersten Blick gar nicht erkennen, dass PHP eingesetzt wird.
Diese Auswirkungen gab es in Österreich
Die Warnung hatte auch in Österreich sichtbare Folgen. Verschiedene Organisationen nahmen ihre Websites am Mittwoch vorsorglich offline. Dazu gehörten unter anderem die Website des Landes Niederösterreich, die Niederösterreichischen Nachrichten, die FH Wiener Neustadt und die Pädagogische Hochschule Niederösterreich.
Auch bei weiteren Einrichtungen und Organisationen wurden Internetauftritte vorübergehend abgeschaltet beziehungsweise überprüft.
Wichtig ist dabei eine klare Unterscheidung: Wenn eine Website vorsorglich vom Netz genommen wurde, bedeutet das nicht automatisch, dass sie bereits erfolgreich angegriffen oder gehackt worden ist. Die Abschaltungen dienten teilweise dazu, die Systeme während der Überprüfung und Aktualisierung vor möglichen Angriffen zu schützen.
Welche PHP-Versionen aktualisiert werden müssen
Das PHP-Projekt veröffentlichte am 21. Oktober Sicherheitsupdates. Betroffen sind PHP 8.5 vor Version 8.5.12, PHP 8.4 vor 8.4.27, PHP 8.3 vor 8.3.36 sowie PHP 8.2 vor 8.2.35.
| Betroffene Version | Sicherheitsupdate |
|---|---|
| PHP 8.5 vor 8.5.12 | 8.5.12 |
| PHP 8.4 vor 8.4.27 | 8.4.27 |
| PHP 8.3 vor 8.3.36 | 8.3.36 |
| PHP 8.2 vor 8.2.35 | 8.2.35 |
| PHP 8.1 und älter | Upgrade bzw. Anbieter-Patches notwendig |
Für PHP 8.1 und ältere Versionen gibt es keine regulären Sicherheitsupdates des PHP-Projekts mehr. Betreiber sollten deshalb auf eine unterstützte Version wechseln beziehungsweise verfügbare Patches ihres Anbieters prüfen.
Was Privatnutzer jetzt wissen müssen
Für normale Internetnutzer besteht wegen der PHP-Lücken kein unmittelbarer Anlass, Einstellungen am Smartphone oder Computer zu verändern. Handeln müssen in erster Linie Betreiber von Websites, Servern und Hostingdiensten.
Diese sollten prüfen, welche PHP-Version eingesetzt wird, und die verfügbaren Aktualisierungen möglichst rasch installieren. Das PHP-Projekt bezeichnet ein Update als vollständige Abhilfe gegen die beiden Schwachstellen.
Für Internetnutzer kann die Sicherheitswarnung deshalb vor allem eines bedeuten: Einzelne Websites könnten vorübergehend nicht erreichbar sein, während Betreiber ihre Systeme überprüfen und aktualisieren.
