IT-Sicherheit bedroht: Fehler in PHP reißt Sicherheitslücken in die meisten Webseiten

Webseiten und Blogs in aller Welt basieren auf der Programmiersprache PHP.

Nun wurde darin eine Sicherheitslücke entdeckt, die weltweit ein gravierendes Problem darstellt.

Eine neu entdeckte, schwerwiegende Sicherheitslücke bringt weltweit das Fundament zahlreicher Webseiten und Onlinedienste ins Wanken.

Betroffen ist die weit verbreitete Programmiersprache PHP, auf der ein Großteil des gesamten Internets basiert – von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.

Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden.

Auf PHP setzen aber auch andere populäre Content-Management-Systeme auf – wie Moodle, Joomla!, Typo3 und Drupal.

Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam schlägt auch das Bundesamt für Sicherheit in der Informationstechnik ( BSI ) Alarm und hat eine offizielle Cybersicherheitswarnung herausgegeben.

BSI stuft Sicherheitslücke als kritisch ein In seiner veröffentlichten Warnung (Aktenzeichen BITS-H Nr.

2026-297981-1032) ordnet das BSI das Risiko mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein.

Dies bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, da eine massive Beeinträchtigung des Regelbetriebs droht.

Das BSI wies in seiner Mitteilung explizit darauf hin, dass von den Schwachstellen ein herausragendes Bedrohungspotenzial ausgeht.

Das Amt machte deutlich, wie ernst die Lage ist, falls nicht umgehend Sicherheitsupdates installiert werden können: „Alternativ kann eine vorübergehende Trennung des Webservers vom Internet bis zum Einspringen des Patches erwogen werden, um eine Kompromittierung zu verhindern, sollten Patches nicht kurzfristig installiert werden können.“ Dass das BSI Betreibern von Internetangeboten explizit rät, ihre Server im Zweifel komplett vom Netz zu nehmen, unterstreicht die Dringlichkeit der Lage.

Gefährlicher Fehler ermöglicht vollständige Serverübernahme Unter dem Namen „PHP2Shell“ warnen Sicherheitsexperten vor gleich zwei kritischen Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert wurden.

Das Gefahrenpotenzial dieser Lücken ist immens: Kriminelle Akteure können die Schwachstelle ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen (Remote Code Execution).