Kritische PHP-Lücke: Globale Website-Abschaltungen

Eine am 21. Oktober 2026 offengelegte kritische PHP-Schwachstelle hat Behörden in Europa und darüber hinaus gezwungen, Websites offline zu nehmen, während sie Notfallpatches einspielen. PHP, die Open-Source-Skriptsprache, auf der rund 70 % der Websites mit erkennbarer Programmiersprache laufen – darunter WordPress, Wikipedia und Slack –, enthält zwei Fehler, die nicht authentifizierte Remote-Code-Ausführung ermöglichen. Die Schwere löste vorsorgliche Abschaltungen in Belgien, den Niederlanden, Finnland, Frankreich und Deutschland aus; unter anderem wurden der niederländische digitale Identitätsdienst und der Hafen Rotterdam vorübergehend suspendiert.

Was ist die PHP-Schwachstelle und wie wurde sie entdeckt?

Die beiden als CVE-2026-109618 und CVE-2026-109619 geführten Fehler haben einen CVSS-Wert von 9,2 und betreffen PHP-Versionen 5.4 bis 8.5.11. Sicherheitsforscher identifizierten mit KI-Unterstützung die seit einem Jahrzehnt bestehenden Lücken; die PHP Foundation bezeichnet sie als die bedeutendsten, die je von KI gefunden wurden. Gepatchte Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 wurden am 21. Oktober veröffentlicht. Apache mit mod_php ist besonders exponiert, doch auch PHP-FPM, php-cgi, FrankenPHP und LiteSpeed können betroffen sein. Der Vorfall verdeutlicht Risiken durch Sicherheitslücken in Open-Source-Software, die jahrelang verborgen bleiben können.

Welche Regierungswebsites wurden offline genommen?

Vorsorgliche Abschaltungen zogen am 21. Oktober durch Europa. In den Niederlanden gingen Overheid.nl, MijnOverheid.nl, DigiD, der Hafen Rotterdam, der KNVB, Websites großer Parteien und Krankenhäuser offline. Finnland setzte Valtori-Dienste aus, Frankreich nahm die Pariser Polizeipräfektur offline, Belgien und Deutschland folgten mit öffentlichen Systemen. Dänemark schaltete Kombit ab; britische Councils in Edinburgh, Bristol und Oxford sowie Australiens Signals Directorate waren kurz betroffen. Die US-NSA und das britische NCSC drängten Organisationen, Systeme offline zu nehmen, wenn sofortiges Patchen nicht möglich sei. Die Welle unterstreicht die Fragilität der digitalen Behördendienste in Europa.

Wie patcht und schützt man PHP-Systeme?

Sicherheitsbehörden empfehlen eine strukturierte Reaktion auf die kritische PHP-Schwachstelle. Diese Schritte reduzieren die Angriffsfläche:

1. Alle PHP-Installationen erfassen, einschließlich Shared Hosting und Legacy-Anwendungen.
2. Internetexponierte Systeme priorisieren, die nicht vertrauenswürdige Eingaben akzeptieren.
3. Patches 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 anwenden oder Vendor-Backports nutzen.
4. Updates für Cloud-Workloads und Container-Images überprüfen.
5. Server-Logs auf verdächtige Aktivitäten oder Exploit-Versuche prüfen.
6. Suspendierte Dienste erst nach Bestätigung sicher wiederherstellen.

Cloudflares Dane Knecht nannte Firewall-Regelupdates ein STOPGAP only und betonte die Notwendigkeit von Notfall-Patch-Management. Organisationen sollten zudem Tools zur Schwachstellensuche einsetzen, um die Behebung zu bestätigen.

Globale Auswirkungen und Expertenstimmen

Amazon meldete vier Tage vor der Offenlegung einen Exploit-Versuch auf einem Honeypot, was darauf hindeutet, dass Angreifer die Fehler bereits sondierten. Da PHP WordPress und viele Content-Management-Systeme trägt, warnen Experten vor einem langen Schwanz ungepatchter Sites auf Shared Hosting. Firewall-Regelupdates sind nur ein STOPGAP, sagte Dane Knecht von Cloudflare, und drängte auf sofortiges Patchen. Cyberbehörden in Europa, Australien, Japan und Großbritannien veröffentlichten Warnungen; KI-gestützte Angriffe könnten die Gefahr verstärken. Das schnelllebige Ereignis testet die globale Koordination der Reaktion auf Cybersicherheitsvorfälle.

FAQ

Was ist die PHP-Schwachstelle?

Es handelt sich um zwei kritische Fehler, CVE-2026-109618 und CVE-2026-109619, die nicht authentifizierte Remote-Code-Ausführung auf PHP-Servern ermöglichen.

Welche PHP-Versionen sind betroffen?

Betroffen sind PHP 5.4 bis 8.5.11. Patches sind in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 verfügbar.

Warum wurden Regierungswebsites offline genommen?

Behörden nahmen Sites vorsorglich offline, weil die Fehler Angreifern vor dem Patchen direkten Zugriff auf Dateisysteme von Servern geben konnten.

Ist WordPress betroffen?

Ja, WordPress läuft auf PHP. Jede WordPress-Site mit ungepatchter PHP-Version ist gefährdet, bis die Serversoftware aktualisiert wird.

Wie schütze ich meine Website?

Die gepatchte PHP-Version sofort einspielen, internetexponierte Systeme priorisieren, Logs prüfen und eine Web Application Firewall als vorübergehenden Stopgap nutzen.

Fazit

Die kritische PHP-Schwachstelle vom Oktober 2026 erinnert daran, dass grundlegende Open-Source-Software verborgene Risiken birgt. Regierungen und Unternehmen müssen jetzt patchen und auf Folgeangriffe achten, da der lange Schwanz ungepatchter Systeme monatelang bestehen dürfte.