PHP-Sicherheitslücke: Wie zwei Schwachstellen Millionen deutscher Websites lahmlegten

Am 22. Oktober 2026 veröffentlichte der Tagesspiegel eine ausführliche Analyse darüber, wie zwei neu entdeckte PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619, als „PHP2Shell" bezeichnet) eine landesweite Abschaltung von Websites auslösten. PHP, das Schätzungen zufolge einen großen Teil aller Websites weltweit betreibt – darunter WordPress-basierte Nachrichtenportale, Online-Shops und Regierungssysteme –, wurde durch die versehentliche Offenlegung der Lücken verwundbar, bevor ein Patch bereitstand. Das BSI gab am Mittwoch um 14:06 Uhr seine dringende Warnung heraus und forderte Administratoren auf, „noch heute das Sicherheitsupdate zu installieren".

Das Ausmaß der Abschaltung war beachtlich: Innerhalb weniger Stunden nahmen Dutzende deutsche öffentliche Einrichtungen ihre Websites vom Netz, darunter die Charité, die Freie Universität und die Humboldt-Universität, die Feuerwehren Berlins und anderer Städte sowie die Internetwachen der Polizei Berlin und Brandenburg. Die PHP-Entwickler veröffentlichten noch am selben Nachmittag PHP 8.5.12.

Der Artikel zitiert Cybersicherheitsexperten, die davor warnen, dass KI-gestützte Angriffe das Zeitfenster zwischen der Offenlegung einer Schwachstelle und ihrer massenhaften Ausnutzung von Tagen auf Stunden verkürzen – ein „Wendepunkt" in der Sicherheit kritischer Infrastrukturen, wie es hieß. Bundesdigitalminister Karsten Wildberger bestätigte, dass die Systeme des Bundes nicht betroffen seien, räumte jedoch ein, dass der Vorfall die Notwendigkeit nahezu sofortiger Patch-Fähigkeiten verdeutliche.