Klartext digital · Cybersicherheit

PHP-Sicherheitslücke: Was ist da eigentlich passiert?

Zwei kritische Fehler in PHP führten dazu, dass Behörden und andere Betreiber Websites vorsorglich abschalteten. Was die Lücken bedeuten – und was du jetzt prüfen solltest.

Von Michael BätscherVeröffentlicht am 22. Oktober 20266 Minuten Lesezeit

Was ist passiert?

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen. Beide können unter bestimmten Voraussetzungen dazu führen, dass ein Angreifer ohne Anmeldung eigenen Code auf einem betroffenen Webserver ausführt. Die Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619; CERT-EU bewertet sie jeweils mit 9,2 von 10 Punkten.

Einige Betreiber schalteten ihre Internetangebote vorsorglich ab, solange sie den Schutz ihrer Systeme noch nicht bestätigen konnten. Das war eine Sicherheitsmassnahme. Eine abgeschaltete Website ist für sich allein kein Beleg für einen erfolgreichen Angriff oder einen Datendiebstahl.

Was ist PHP – und wo lag der Fehler?

PHP ist eine Programmiersprache, die auf Webservern läuft und dynamische Websites und Onlineangebote erzeugt. WordPress ist zum grossen Teil in PHP geschrieben und benötigt deshalb eine PHP-Laufzeitumgebung auf dem Server. Ein WordPress-Update aktualisiert diese Serverumgebung nicht automatisch.

Die Fehler lagen im Kern von PHP. Vereinfacht gesagt betreffen sie Situationen, in denen PHP nach einem Speicherfehler oder einem anderen abgebrochenen Verarbeitungsschritt interne Daten falsch bereinigen oder später erneut verwenden kann. Unter bestimmten Bedingungen lässt sich daraus eine Ausführung von Schadcode ableiten. Entscheidend ist die PHP-Version, die Webanfragen verarbeitet – nicht allein die Version des verwendeten Website-Systems.

Die vom PHP-Projekt veröffentlichten korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Updates mehr. Einige Linux- und Hosting-Anbieter stellen dafür Sicherheitskorrekturen als sogenannte Backports bereit. Deshalb muss der jeweilige Anbieter bestätigen, ob der Fix tatsächlich enthalten ist.

Welche Folgen kann das haben?

Gelingt ein Angriff, kann der Angreifer Code mit den Rechten des Webservers ausführen. Je nach technischer Umgebung könnte er Inhalte verändern oder auf Daten zugreifen, die der Webserver erreichen kann. Wie weit mögliche Folgen reichen, hängt von der konkreten Installation, den Zugriffsrechten und der Netztrennung ab.

Das Risiko betrifft den Server im Hintergrund, nicht PHP auf dem Smartphone oder Computer der Besucherinnen und Besucher. Im Alltag können Menschen aber indirekt betroffen sein, wenn wichtige Onlineangebote vorsorglich abgeschaltet werden oder ein erfolgreicher Einbruch Daten auf einer Website gefährdet.

Welche Websites waren offline?

Am 21. Oktober 2026 wurden unter anderem diese Ausfälle gemeldet:

Stadt Mainz und Koblenz (Deutschland): Mainz schaltete sein Webportal und weitere digitale Angebote vorsorglich ab. In Koblenz waren städtische Online-Dienste teilweise deaktiviert, darunter das Bürgerinformationssystem. Bürgerinnen und Bürger konnten die betroffenen Informationen und Dienste in dieser Zeit nicht online nutzen.
Kanton Basel-Stadt (Schweiz): Der Kanton nahm seine Websites präventiv vom Netz. Informationen und Dienstleistungen auf den Seiten waren dadurch vorübergehend nicht zugänglich. Nach Angaben des Kantons war kein sicherheitsrelevanter Vorfall registriert.
Lodur (Schweiz): Die Plattform zur Verwaltung zahlreicher Feuerwehren war vorübergehend offline. Nutzende konnten auf gespeicherte Daten nicht zugreifen und Änderungen an Alarmgruppen nicht vornehmen. Das bedeutete laut Mitteilung nicht zwingend, dass die Alarmauslösung selbst ausfiel.
Universität Genf (Schweiz): Ihre Website war am Mittwochabend nicht aufrufbar.

Die Beispiele beziehen sich auf gemeldete Ausfälle am 21. Oktober 2026. Die PHP-Updates waren inzwischen verfügbar; der Status einzelner Websites kann sich danach geändert haben. Die Abschaltungen waren vorsorgliche Massnahmen und belegen für sich allein weder einen erfolgreichen Angriff noch, dass der Betrieb der jeweiligen Einrichtung insgesamt stillstand.

Was du jetzt tun solltest

Du besuchst nur eine Website?

Du musst wegen dieser PHP-Lücken kein besonderes Update auf deinem Smartphone oder Computer installieren.
Ist eine Website nicht erreichbar, nutze den offiziellen Telefonkontakt oder einen anderen offiziellen Kanal der Organisation.
Gib deine Zugangsdaten nicht auf einer Ersatzseite ein, die du über eine ungeprüfte Nachricht oder einen Suchtreffer gefunden hast. Nutze die bekannte offizielle Adresse.

Du betreibst eine Website?

PHP-Version ermitteln: Frage den Hosting-Anbieter oder die zuständige IT, welche PHP-Version tatsächlich Webanfragen verarbeitet.
Fix bestätigen lassen: Aktualisiere auf eine korrigierte Version. Bei PHP 8.1 oder älter lasse dir vom Anbieter konkret bestätigen, dass ein Sicherheitsfix zurückportiert wurde. Eine Versionsnummer allein reicht bei älteren Anbieterpaketen nicht immer zur Beurteilung.
WordPress separat pflegen: Aktualisiere WordPress, Themes und Plugins ebenfalls. Das ersetzt das Update der PHP-Laufzeitumgebung nicht.
Wenn der Fix fehlt: Lass die betroffene Anwendung bis zur Behebung vom Netz nehmen oder technisch isolieren. Eine Firewall oder eine Web Application Firewall ist kein vollständiger Ersatz für den Sicherheitsfix.
Nach dem Update prüfen: Kontrolliere Website und wichtige Funktionen. Bei verdächtigen Änderungen oder Zugriffen hole den Hosting-Anbieter oder eine Fachperson dazu und sichere die relevanten Protokolle.

Die wichtigste Einordnung: Nicht «das Internet» fiel aus. Betroffen waren einzelne Angebote, deren Betreiber ihre PHP-Systeme prüfen und absichern mussten. Für viele Menschen zeigte sich das Problem ganz praktisch: Eine Terminbuchung, ein Bürgerportal oder eine Informationsseite war vorübergehend nicht erreichbar.

Quellen

Stand der Recherche: 22. Oktober 2026. Verfügbarkeitsmeldungen beziehen sich auf den 21. Oktober 2026.