Kritische Sicherheitslücke in PHP: Websites vorübergehend offline
Websites, die mit PHP laufen, sind heute vorübergehend offline. Sie sind voraussichtlich heute Abend wieder erreichbar.
Warnung des BSI, Kritikalität 3 / Orange: Das Bundesamt für Sicherheit in der Informationstechnik hat zu dieser Lücke einen Sicherheitshinweis der Stufe Orange herausgegeben. Das bedeutet laut BSI: „Maßnahmen müssen unverzüglich ergriffen werden.“
BSI-Sicherheitshinweis 2026-297981-1032 lesen (PDF)- Was ist passiert?
- In PHP, der Software, mit der viele Websites laufen, wurde eine kritische Sicherheitslücke bekannt. Das PHP-Team hat die Korrektur am 21. Oktober 2026 veröffentlicht.
- Warum sind noch nicht alle Websites online?
- Die Korrektur von PHP muss vom Hersteller des Server-Betriebssystems als fertiges Update bereitgestellt werden. Die ersten Updates sind jetzt da und werden nach und nach eingespielt. Bis das auf einem Server geschehen ist, bleiben die betroffenen Websites vom Netz, damit niemand die Lücke ausnutzen kann. So bleiben die Daten der Kunden und Besucher, die Daten der Website-Betreiber und die Server selbst geschützt.
- Was muss ich tun?
- Nichts. Sobald das Update eingespielt ist, schalten wir die Websites wieder online und informieren auf dieser Seite.
Technische Details anzeigen
- Schwachstellen: CVE-2026-109618 und CVE-2026-109619 („PHP2Shell“), je CVSS v4.0 9.2 (kritisch)
- Art: Codeausführung aus der Ferne ohne Anmeldung (Remote Code Execution) im PHP-Kern, unabhängig von der jeweiligen Anwendung (z. B. WordPress)
- Behobene Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (veröffentlicht am 21.10.2026). PHP 8.1 und älter erhalten vom PHP-Projekt keine Updates mehr.
- Maßnahme: Webserver abgeschaltet, bis die korrigierten PHP-Versionen installiert sind, entsprechend den Empfehlungen von BSI, CERT-EU und CERT.at
- Quellen: php.net · BSI-Sicherheitshinweis 2026-297981-1032 · CERT-EU Advisory 2026-018 · CERT.at
Websites running on PHP are temporarily offline as a precaution. A critical security vulnerability in PHP has been disclosed. The PHP team has released the fix; we are now waiting for the vendor of our servers’ operating system to ship it as an update. To protect the data of customers, visitors and website operators as well as the servers themselves, affected websites stay offline until the security update is installed, expected later today (21 October 2026). E-mail, telephone and other services are not affected. The German Federal Office for Information Security (BSI) rates the issue criticality 3 / orange (“measures must be taken immediately”): BSI advisory (PDF, German). Details: CVE-2026-109618, CVE-2026-109619.