Gravierende Sicherheitslücke: Auch Schweizer Websites offline

• Eine kritische Sicherheitslücke in der Programmiersprache PHP gefährdet weltweit unzählige Webseiten.
• Angreifer können unter dem Namen «PHP2Shell» ohne Anmeldung Schadcode ausführen und Server komplett übernehmen.
• Erste Behörden, Universitäten und Spitäler nehmen ihre Online-Angebote vorsorglich vom Netz.

Eine neu entdeckte, schwerwiegende Sicherheitslücke bringt weltweit das Fundament zahlreicher Webseiten und Onlinedienste ins Wanken. Betroffen ist die weit verbreitete Programmiersprache PHP, auf der ein Grossteil des gesamten Internets basiert – von einfachen Blogs über grosse Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.

Wie unter anderem das IT-Sicherheitsunternehmen Huntress, das Computer Emergency Response Team des Bundes (CERT) sowie das offizielle PHP-Sicherheitsteam berichten, handelt es sich um eine akute Notfallsituation, die Betreiber von Internetseiten in aller Welt zu schnellem Handeln zwingt.

Gefährlicher Fehler ermöglicht vollständige Übernahme

Unter dem Namen «PHP2Shell» warnen Sicherheitsexperten vor gleich zwei kritischen Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026–109618 und CVE-2026–109619 registriert wurden.

Das Gefahrenpotenzial dieser Lücken ist immens: Kriminelle Akteure können die Schwachstellen ausnutzen, um ohne vorherige Anmeldung aus der Ferne eigenen Schadcode auf den betroffenen Servern auszuführen (Remote Code Execution).

In der Praxis ermöglicht dies Angreifern, die vollständige Kontrolle über eine Website zu übernehmen, sensible Datenbanken und Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.

Da detaillierte Informationen zur Schwachstelle unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche unter erheblichem Zeitdruck. Branchenexperten befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen werden, um ungeschützte Server im Internet im Sekundentakt aufzuspüren und zu kapern.

Kommunen ziehen vorsorglich den Stecker

Die akute Bedrohungslage zeigt bereits konkrete Auswirkungen im öffentlichen Leben. Erste Kommunen, Behörden, Universitäten und Spitäler haben auf die Warnungen der Sicherheitsbehörden reagiert und ihre Online-Angebote kurzfristig vom Netz genommen, um möglichen Angriffen zuvorzukommen.

So hat beispielsweise die Landeshauptstadt Mainz nach einer Warnung des Bundes vorsorglich mehrere städtische Internetdienste und ihr zentrales Webportal mainz.de vorübergehend abgeschaltet. Wie die Stadtverwaltung mitteilte, bleiben die Ämter und Bürgerbüros telefonisch und per E-Mail weiterhin erreichbar, und auch bereits vereinbarte Termine finden wie geplant statt. Die vorsorgliche Abschaltung betreffe allein den externen Internetauftritt, um eine Kompromittierung der dahinterliegenden Systeme zu verhindern.

Auch die Berliner Charité ist laut dem Portal «It-daily» derzeit offline. Die Ruhr-Universität Bochum sperrt ihre Webseiten bis morgen 12 Uhr – sie sind nur innerhalb des Uni-Netzes oder per VPN aufrufbar.

Höchste Alarmbereitschaft für Seitenbetreiber

Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen, die technisch auf PHP aufsetzen, gilt derzeit höchste Dringlichkeit, die eine sofortige Reaktion erfordert. IT-Experten raten dringend dazu, sich unverzüglich mit den zuständigen Systemadministratoren, IT-Dienstleistern oder Webhosting-Anbietern in Verbindung zu setzen.

Sicherheitsupdate angekündigt

Verfügbare Patches und Sicherheitsupdates für die PHP-Umgebung sowie für genutzte Content-Management-Systeme müssen ohne jeden Verzug eingespielt werden. Ältere PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, stellen ein unkalkulierbares Risiko dar und sollten isoliert oder umgehend aktualisiert werden.

Alessia Rambaldi (ram), arbeitet seit 2024 für 20 Minuten. Sie ist Redaktorin am Newsdesk.