PHP-Sicherheitslücke legt Websites Berliner Behörden lahm – die meisten wieder online

Am etwa 21. Oktober 2026 veröffentlichten Sicherheitsforscher zwei kritische Schwachstellen in PHP – der Skriptsprache, auf der ein Großteil der Websites weltweit basiert – mit den Kennungen CVE-2026-109618 und CVE-2026-109619, zusammen als „PHP2Shell" bezeichnet. Die Lücken könnten es einem nicht authentifizierten Angreifer ermöglichen, beliebigen Code auf einem betroffenen Server auszuführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab eine dringende Warnung der Stufe „Orange" heraus und forderte ein sofortiges Update auf PHP 8.5.12 „noch heute".

In Berlin schalteten die Universitätsklinik Charité, die Freie Universität, die Humboldt-Universität, der Webauftritt der Berliner Feuerwehr und die Berliner Tafel vorsorglich ihre Websites ab. Auch die Internetwache der Polizei – sowohl in Berlin als auch in Brandenburg – war nicht mehr erreichbar.

Die PHP-Entwickler veröffentlichten am Mittwochnachmittag eine gepatchte Version. Bis Donnerstag waren die Charité, die Freie Universität, die S-Bahn Berlin und berlin.de größtenteils wieder online. Das Brandenburger Polizeiportal blieb am Donnerstagabend weiterhin offline. Bundesdigitalminister Karsten Wildberger erklärte, die Systeme des Bundes seien nicht betroffen, bezeichnete den Vorfall aber als Zeichen dafür, dass „wir in eine neue Ära der Cybersicherheit eintreten".