PHP-Sicherheitslücke: Behörden-Webseiten kehren schrittweise zurück

Nach der Entdeckung zweier kritischer PHP-Sicherheitslücken kehren zahlreiche Behörden und öffentliche Einrichtungen zum regulären Internetbetrieb zurück. Doch auch nach der Veröffentlichung wichtiger Sicherheitsupdates bleiben einzelne Webseiten und digitale Dienste in Deutschland eingeschränkt. Warum die Wiederherstellung unterschiedlich lange dauert und welche Risiken für Betreiber und Nutzer bestehen, ist inzwischen genauer absehbar.

Berlin, 22. Oktober 2026 – Die Folgen einer schwerwiegenden PHP-Sicherheitslücke sind in Deutschland weiterhin spürbar. Nachdem Behörden, Hochschulen und IT-Dienstleister am Mittwoch zahlreiche Internetangebote vorsorglich abgeschaltet hatten, entspannt sich die Lage allmählich. In mehreren Bundesländern sind Webseiten wieder erreichbar. Andernorts müssen Bürger und Unternehmen weiterhin auf digitale Angebote verzichten.

Nach Angaben der Deutschen Presse-Agentur (dpa) wurden insbesondere in Rheinland-Pfalz, im Saarland und in Thüringen zahlreiche zuvor gesperrte Internetseiten wieder freigegeben. Auch einzelne Polizeidienste haben ihren Betrieb aufgenommen. In Berlin, Brandenburg und Nordrhein-Westfalen bestanden am Donnerstagmorgen dagegen noch Einschränkungen.

Hintergrund sind zwei kritische Schwachstellen in PHP, einer weltweit verbreiteten Programmiersprache, die auf Webservern eingesetzt wird. Unter bestimmten Voraussetzungen ermöglichen die Sicherheitsfehler Angreifern, fremden Programmcode auszuführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor dem hohen Gefährdungspotenzial. Viele Betreiber reagierten mit vorsorglichen Sperren, noch bevor die notwendigen Softwarekorrekturen bereitstanden.

PHP-Sicherheitslücke: Welche Behörden-Webseiten wieder erreichbar sind

Die Auswirkungen der PHP-Sicherheitslücke zeigten sich am Mittwoch besonders deutlich bei öffentlichen Internetangeboten. Behörden und kommunale Einrichtungen nahmen Webseiten zeitweise vom Netz oder schränkten einzelne Funktionen ein. Ziel war es, verwundbare Systeme vor möglichen Angriffen zu schützen.

Am Donnerstagmorgen fiel die Bilanz je nach Bundesland unterschiedlich aus. In Rheinland-Pfalz und im Saarland konnten viele Angebote wieder freigeschaltet werden. Thüringen meldete bereits am Mittwochabend die Wiederherstellung der Internetseiten der Staatskanzlei, der Landespolizei und des Innenministeriums.

Auch die Berliner S-Bahn erklärte, ihre Webseiten seien wieder uneingeschränkt erreichbar. Andere Internetangebote in der Hauptstadt blieben zuletzt betroffen. In Brandenburg bestanden ebenfalls weiterhin Einschränkungen bei einzelnen Behörden und öffentlichen Einrichtungen.

Aus Nordrhein-Westfalen wurden unterschiedliche Entwicklungen gemeldet: Mehrere Polizeidienste waren wieder online, während andere Webseiten zunächst nicht erreichbar blieben.

Eine bundesweite Übersicht über sämtliche noch gesperrten Internetangebote liegt nicht vor. Auch ein verbindlicher Zeitpunkt für die vollständige Wiederherstellung aller betroffenen Dienste ist bislang nicht bekannt.

Weshalb die Freischaltung nicht überall gleichzeitig erfolgt

Mit der Bereitstellung eines Sicherheitsupdates ist die Arbeit für die IT-Verantwortlichen nicht abgeschlossen. Zunächst müssen betroffene Server identifiziert, die korrigierten PHP-Versionen installiert und die darauf betriebenen Anwendungen überprüft werden.

Gerade bei komplexen Internetangeboten können mehrere Softwarekomponenten voneinander abhängen. Ein Versionswechsel muss deshalb nicht nur die bekannte Sicherheitslücke schließen, sondern auch den störungsfreien Betrieb der jeweiligen Dienste gewährleisten.

Wie unterschiedlich der Aufwand ausfallen kann, zeigen die Reaktionen von Hostingunternehmen. Der Anbieter manitu warnte am Mittwoch davor, dass Wartungsmaßnahmen und mögliche Funktionseinschränkungen mehrere Tage andauern könnten.

Der IT-Dienstleister webfactory meldete dagegen, seine Systeme bereits am Mittwochabend auf aktualisierte PHP-Versionen umgestellt zu haben. Auch dort waren zuvor Schutzmaßnahmen ergriffen worden.

Die PHP-Sicherheitslücke ist damit zwar technisch adressiert. Für die vollständige Wiederherstellung aller betroffenen Internetangebote bleibt jedoch entscheidend, wie schnell die Betreiber ihre jeweiligen Systeme absichern und testen können.

Zwei kritische Schwachstellen: Was hinter der PHP-Sicherheitslücke steckt

Die Sicherheitswarnung betrifft zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide stehen im Zusammenhang mit Fehlern bei der Speicherverwaltung innerhalb der Programmiersprache PHP.

Nach Einschätzung des österreichischen Computer Emergency Response Teams CERT.at können die Schwachstellen unter bestimmten technischen Bedingungen ausgenutzt werden, um nicht autorisierten Programmcode auf einem betroffenen Server auszuführen. Eine vorherige Anmeldung ist bei entsprechenden Angriffsszenarien nicht zwingend erforderlich.

CERT.at bewertete beide Sicherheitsprobleme mit jeweils 9,2 Punkten nach dem Bewertungssystem CVSS v4.0. Damit gehören sie zur höchsten Risikokategorie. Das BSI empfahl ebenfalls, gefährdete Systeme möglichst schnell zu aktualisieren.

Die Warnung ist für zahlreiche Internetbetreiber relevant. PHP bildet die technische Grundlage vieler Webseiten, Redaktionssysteme und serverseitiger Anwendungen. Entsprechend breit ist der Kreis der Einrichtungen, die ihre eingesetzte Software überprüfen müssen.

Welche PHP-Versionen ein Sicherheitsupdate erhalten haben

Das offizielle PHP-Projekt veröffentlichte am 21. Oktober 2026 korrigierte Versionen für mehrere unterstützte Entwicklungszweige. Dazu zählen:

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Die Aktualisierungen beheben die bekannt gewordenen Sicherheitsprobleme. Für ältere PHP-Versionen, die vom offiziellen Projekt nicht mehr regulär unterstützt werden, stehen dagegen keine entsprechenden Standardupdates zur Verfügung. Einzelne Anbieter können allerdings eigene Korrekturen bereitstellen.

Besonders bei älteren Anwendungen kann die Umstellung zusätzlichen Aufwand verursachen. Betreiber müssen prüfen, ob ihre Webseiten und Erweiterungen mit einer aktualisierten PHP-Version weiterhin zuverlässig funktionieren.

Auch WordPress-Webseiten müssen überprüft werden

Die PHP-Sicherheitslücke betrifft nicht ausschließlich staatliche Internetangebote. Auch Unternehmen, Nachrichtenportale und private Webseiten verwenden die Programmiersprache auf ihren Servern.

Die WordPress-Organisation wies deshalb am Mittwoch ausdrücklich auf die kritischen Sicherheitsupdates hin. Betreiber entsprechender Webseiten sollten ihre PHP-Umgebung zeitnah aktualisieren lassen.

Ein separates WordPress-Update ist zur Behebung dieser beiden Schwachstellen nach Angaben der Organisation nicht erforderlich. Die Sicherheitskorrektur muss vielmehr auf Ebene der PHP-Installation erfolgen.

Allerdings ist nicht jede Webseite, die PHP verwendet, automatisch angreifbar. Ob ein System tatsächlich verwundbar ist, hängt unter anderem von der installierten Softwareversion, der Serverkonfiguration und bereits umgesetzten Sicherheitsmaßnahmen ab.

Hochschulen und Hostinganbieter reagieren auf die Sicherheitswarnung

Neben Behörden mussten auch Hochschulen und technische Dienstleister kurzfristig Maßnahmen ergreifen. Ein Beispiel ist die Technische Universität Chemnitz. Sie beschränkte den Zugriff auf bestimmte Webdienste vorsorglich auf das interne Campusnetz.

Das Universitätsrechenzentrum teilte am Mittwoch um 16.40 Uhr mit, dass Sicherheitsupdates inzwischen verfügbar seien. Die zuvor eingerichteten Zugangsbeschränkungen blieben zunächst bestehen.

Der Fall verdeutlicht, weshalb selbst nach Veröffentlichung einer Korrektur noch Einschränkungen auftreten können. Solange die Aktualisierung nicht abgeschlossen und überprüft ist, können Betreiber zusätzliche Schutzmaßnahmen aufrechterhalten.

Die Sicherheitswarnung hatte zudem Auswirkungen über Deutschland hinaus. Nach Informationen der Nachrichtenagentur Reuters wurden auch in anderen europäischen Ländern Internetangebote vorsorglich abgeschaltet.

Ein flächendeckender Ausfall des Internets liegt damit allerdings nicht vor. Betroffen sind einzelne Webseiten, Serverumgebungen und digitale Dienste, deren Betreiber auf die bekannt gewordenen Schwachstellen reagieren mussten.

Was Internetnutzer jetzt über die PHP-Sicherheitslücke wissen müssen

Für Bürgerinnen und Bürger sind die Folgen vor allem im Alltag sichtbar: Eine Behördenseite lässt sich nicht öffnen, ein digitaler Dienst steht vorübergehend nicht zur Verfügung oder bestimmte Funktionen bleiben gesperrt.

Die Ursache liegt jedoch nicht auf den Geräten der Besucher. Die PHP-Sicherheitslücke betrifft die serverseitige Verarbeitung von Webseiten und damit in erster Linie die technische Infrastruktur der jeweiligen Anbieter.

Wer lediglich eine betroffene Webseite aufrufen möchte, muss wegen dieser beiden Schwachstellen kein spezielles Sicherheitsupdate auf seinem Smartphone oder Computer installieren. Die notwendigen Korrekturen sind Aufgabe der Serverbetreiber und ihrer IT-Dienstleister.

Anders sieht es für Verantwortliche eigener Internetangebote aus. Sie müssen prüfen, welche PHP-Version eingesetzt wird, ob Sicherheitsupdates installiert wurden und ob weitere Schutzmaßnahmen erforderlich sind.

Vorsorgliche Abschaltungen sind kein Beweis für Hackerangriffe

Die hohe Risikoeinstufung der PHP-Sicherheitslücke bedeutet nicht, dass sämtliche betroffenen Systeme tatsächlich kompromittiert wurden. Ebenso wenig lässt sich aus einer vorübergehend abgeschalteten Webseite auf einen erfolgreichen Cyberangriff schließen.

Viele Einrichtungen haben ihre Angebote ausdrücklich vorsorglich eingeschränkt. Solche Maßnahmen sollen verhindern, dass eine bekannte Schwachstelle ausgenutzt wird, bevor die notwendigen Sicherheitskorrekturen installiert sind.

CERT.at hatte im Zusammenhang mit den Schwachstellen auf öffentlich bekannt gewordenen Exploitcode hingewiesen. Daraus lässt sich jedoch nicht ableiten, dass die genannten deutschen Behörden und Einrichtungen tatsächlich angegriffen wurden.

Für die betroffenen öffentlichen Angebote liegen aus den ausgewerteten Meldungen auch keine gesicherten Angaben über einen durch diese Schwachstellen verursachten Abfluss personenbezogener Daten vor.

Entscheidend bleibt daher die Unterscheidung zwischen einem vorhandenen Sicherheitsrisiko, einem möglichen Angriffsversuch und einer nachgewiesenen Kompromittierung. Für Letzteres fehlen bei den genannten Einrichtungen bislang entsprechende Belege.

Die Sicherheitsupdates sind verfügbar – der Normalbetrieb braucht länger

Die Veröffentlichung der korrigierten PHP-Versionen hat die Voraussetzungen geschaffen, betroffene Server gegen die beiden bekannt gewordenen Schwachstellen abzusichern. Zahlreiche Behörden und Dienstleister konnten ihre zuvor eingeschränkten Internetangebote bereits wieder freigeben.

Die weiterhin bestehenden Sperren zeigen allerdings, dass sich die Wiederherstellung nicht auf die Installation eines einzelnen Updates reduzieren lässt. Wo unterschiedliche Anwendungen und ältere Softwarekomponenten zusammenarbeiten, müssen die Betreiber die technische Sicherheit und die Funktionsfähigkeit ihrer Systeme gleichermaßen gewährleisten.

Für Nutzer öffentlicher Internetangebote zählt vor allem, wann die benötigten Dienste wieder zuverlässig erreichbar sind. Am Donnerstagmorgen, 22. Oktober, ist diese Frage noch nicht für alle betroffenen Einrichtungen geklärt.

Die kommenden Freischaltungen werden zeigen, wie schnell die verbliebenen Einschränkungen aufgehoben werden können. Bis dahin bleibt die PHP-Sicherheitslücke nicht nur ein Thema für IT-Fachleute, sondern auch für Verwaltungen, Unternehmen und alle, die auf funktionierende digitale Dienstleistungen angewiesen sind.