Wer eine Webseite betreibt, sollte heute einen Blick auf seinen Server werfen. In PHP, der Programmiersprache hinter einem Großteil aller Webseiten weltweit, klaffen zwei kritische Sicherheitslücken. Angreifer könnten darüber fremde Server übernehmen. Die Universität Wien hat vorsorglich zentrale Dienste abgeschaltet. Am Nachmittag sollen Notfall-Updates kommen.

Was passiert ist

Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619, in der Szene werden sie inzwischen “PHP2Shell” genannt. Es handelt sich um sogenannte Remote-Code-Execution-Lücken: Angreifer können aus der Ferne eigenen Programmcode auf einem betroffenen Server ausführen und damit im schlimmsten Fall Daten stehlen oder die Kontrolle übernehmen. Das Problem steckt im PHP-Interpreter selbst, nicht in einer einzelnen Anwendung. Betroffen sind damit grundsätzlich alle Seiten, die auf einer verwundbaren PHP-Version laufen, von WordPress über Drupal und Joomla bis zu Online-Shops mit WooCommerce oder Magento.

Ein Leck vor dem Leck

Eigentlich sollten die Lücken erst am Donnerstag gemeinsam mit den Updates öffentlich werden. Doch am Dienstag tauchten die Kennungen laut dem Fachmagazin Infosecurity Magazine vorzeitig in einem Forum auf. Das PHP-Sicherheitsteam reagierte und zog das Update um einen Tag vor. “Alle PHP-Nutzer sind aufgefordert, sich jetzt vorzubereiten, damit sie aktualisieren können, sobald das Release verfügbar ist”, heißt es in der Vorankündigung. Man behalte sich vor, noch früher zu veröffentlichen, falls Details bekannt werden oder Angriffe auftauchen. Die Sicherheitsfirma watchTowr bestätigte laut Patchstack, dass die Lücken echt sind und reproduzierbar.

9,2 statt 10

Bei der Gefährlichkeit gehen die Angaben auseinander. In ersten Berichten und auch bei oe24 war von der höchsten Risikostufe 10 von 10 die Rede. Das PHP-Team selbst bewertet beide Lücken mit 9,2 von 10 nach dem Bewertungssystem CVSS 4.0, wie BleepingComputer berichtet. Das ist immer noch “kritisch”, die höchste Kategorie. Updates soll es laut Tenable nur für die noch unterstützten Versionen von PHP 8 geben. Wer noch PHP 5 oder 7 einsetzt, bekommt keine offizielle Korrektur und muss auf eine aktuelle Version umsteigen.

Uni Wien und niederländische Behörden offline

Wie ernst die Lage genommen wird, zeigt sich an den Reaktionen. Die Universität Wien hat laut “Kronen Zeitung”, auf die sich oe24 beruft, zahlreiche zentrale Dienste mit dem Hinweis “Präventive Abschaltung zentraler IT-Services” vom Netz genommen. Auch in den Niederlanden gingen laut Patchstack Behördenportale wie DigiD, über das sich Bürger bei Ämtern anmelden, bis zum Erscheinen des Updates offline. Der Netzwerkdienstleister Cloudflare hat seine Schutzregeln für Kunden bereits angepasst, um mögliche Angriffe abzufangen.

Was Betreiber jetzt tun sollten

Die Updates erscheinen laut PHP-Team am Mittwoch um 14 Uhr UTC, das ist 16 Uhr österreichischer Zeit. Wer seinen Server selbst betreibt, sollte sie so rasch wie möglich einspielen. Sicherheitsforscher rechnen damit, dass Angreifer die Lücken kurz nach Veröffentlichung der technischen Details ausnutzen. Wer eine Webseite bei einem Hosting-Anbieter betreibt, sollte nachfragen, ob und wann der Anbieter aktualisiert. Für normale Internetnutzer, die Webseiten nur besuchen, besteht kein direkter Handlungsbedarf. Laut dem Statistikdienst W3Techs setzen rund drei Viertel aller Webseiten, deren Server-Technik bekannt ist, auf PHP.