Weltweite AusfälleWas bedeutet die Sicherheitslücke in der Software PHP?
Städte, Unis, Behörden und Onlineshops – viele Seiten waren am Mittwoch down. Manche sind es immer noch. Sie wurden vorsichtshalber abgeschaltet, weil in einer Software gravierende Sicherheitslücken entdeckt wurden.
PHP ist eine Programmiersprache, die weltweit hinter sehr vielen Webseiten steckt. Dazu zählen unter anderem Onlineshops, Nachrichtenportale oder Webseiten, die mit dem Baukasten-Werkzeug WordPress gebaut wurden. Sicherheitsforschende haben zwei kritische Schwachstellen in dieser Programmiersprache entdeckt.
"Im schlimmsten Fall könnten sie die Webseite übernehmen."
Denn über diese Schwachstellen wäre es für potenzielle Angreifer möglich, auf ungeschützten Servern eigene Befehle auszuführen – und zwar ohne Passwort. Die Angreifer könnten Inhalte verändern, Schadsoftware einschleusen oder Daten stehlen, zum Beispiel von Kunden eines Onlineshops. Und im schlimmsten Fall könnten sie die Webseite kapern, erklärt Deutschlandfunk-Nova-Tech-Autorin Carina Schroeder. "Das Bundesamt für Sicherheit in der Informationstechnik hat die Gefahr deshalb als außerordentlich hoch eingestuft", sagt sie.
Viele Behörden und Unis haben ihre Seiten abgeschaltet
Behörden, Universitäten, auch die Charité in Berlin und das Robert Koch-Institut haben deswegen vorsichtshalber ihre Seiten vom Netz genommen. "Das heißt aber nicht, dass diese Einrichtungen gehackt wurden. Sie wollten verhindern, dass jemand die Schwachstellen ausnutzt", erklärt unsere Autorin. Inzwischen sind viele Seiten wieder erreichbar. Einzelne Onlinedienste können aber weiter eingeschränkt sein.
Damit die Sicherheitslücke geschlossen wird, braucht PHP Updates. Die zuständigen Entwickler haben diese Updates am Mittwochnachmittag (21.10.2026) veröffentlicht. Und die Betreiber der Websites müssen diese Updates auf ihren Servern installieren und anschließend prüfen, ob alles noch funktioniert. "Gerade bei älteren Systemen ist das manchmal komplizierter. Für manche PHP-Versionen gibt es von den Entwicklern eigentlich gar keine regulären Updates mehr", sagt Carina Schroeder. Wegen des großen Risikos machen sie hier jetzt eine Ausnahme.
Bereits vor der öffentlichen Warnung waren Informationen über die Schwachstellen bekannt geworden. Darum musste alles sehr schnell gehen. Denn die Gefahr ist nicht nur theoretisch, erklärt unsere Tech-Autorin: "Amazon berichtet, dass seine Sicherheitssysteme bereits Angriffsversuche erkannt haben." Solche Angriffe lassen sich etwa mit KI automatisieren. Kriminelle können in kurzer Zeit sehr viele ungeschützte Server abklopfen.
Inwiefern Nutzende betroffen sind
Die Sicherheitslücken befinden sich auf den Servern und nicht auf unserem Smartphone oder dem Laptop. "Nur weil ich eine Seite besucht habe, bedeutet das also nicht, dass mein Gerät gefährdet ist", sagt Carina. Wenn Angreifer jedoch die Sicherheitslücke erfolgreich nutzen und einen Server tatsächlich übernehmen, dann könnten dabei auch persönliche Daten gestohlen werden. Außerdem können manche Onlinedienste vorübergehend ausfallen.
"Die eigentliche Reparatur müssen die Webseitenbetreiber übernehmen."
"Wenn eine Behördenseite nicht erreichbar ist, würde ich später noch mal nachsehen oder die Behörde telefonisch kontaktieren", sagt unsere Autorin. Sollten wir Mails bekommen, die uns auf eine angebliche Ersatzseite lotsen wollen, dann sollten wir misstrauisch sein. "Da könnte dich nämlich jemand betrügen wollen. Und falls ein Anbieter später einen Datendiebstahl meldet, solltest du dessen Hinweise beachten und gegebenenfalls das Passwort ändern", so Carina Schroeder.