Es klingt wie ein digitaler Alptraum: Zwei gravierende Sicherheitslücken in der Web-Skriptsprache PHP versetzen Unternehmen und Organisationen seit dem 21. Oktober 2026 weltweit in Panik. Die Schwachstellen mit den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 weisen einen kritischen CVSS-Score von 9,2 von 10 auf.
Das Gefährliche daran: PHP bildet die Grundlage für rund 70 Prozent aller Webseiten im Internet. Darunter etwa WordPress, Drupal, Magento sowie Plattformen wie Slack und Zoom. Die Lücken wurden von Sicherheitsforschern mithilfe künstlicher Intelligenz entdeckt - und waren mehr als ein Jahrzehnt unentdeckt geblieben.
"Heute" auf Google als bevorzugte Quelle festlegen
Wie es bei der Computerwoche heißt, reagierte das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) mit einer dringenden Cybersicherheitswarnung. Auch in Österreich wurden Webseiten wie jene der Uni Wien und der TU Wien vorsorglich vom Netz genommen.
Millionen Angriffe bereits registriert
Die Sicherheitslücken werden unter dem Namen "PHP2Shell" zusammengefasst. Der Hosting-Dienstleister Cloudflare verzeichnet bereits Millionen von Angriffen. "Wer einen Server übernimmt, hat die Schlüssel zu den Kronjuwelen: Er kann Kundendaten und Passwörter abgreifen, Webseiten verfälschen und Schadsoftware einschleusen", warnt Sicherheitsexperte Dennis-Kenji Kipker.
Die PHP Foundation rät betroffenen Unternehmen dringend, auf die PHP-Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 umzusteigen. Forrester-Analystin van der Hout mahnt: "Es reicht nicht aus, nur Ihre Unternehmenswebseite zu überprüfen."
Die Bilder des Tages
?
Kein Handlungsbedarf für normale User
Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC kein direkter Handlungsbedarf. Die Sicherheitslücke befindet sich nicht auf Endgeräten, sondern auf den Servern im Hintergrund. Dennoch können Verbraucher indirekt betroffen sein - etwa durch Ausfälle wichtiger Onlinedienste oder mögliche Datenabflüsse.
