Kritische PHP-Sicherheitslücken: Warum viele Webseiten derzeit nicht erreichbar sind
Wer am 21. Oktober eine Internetseite aufrufen möchte, bekommt teilweise nur eine Fehlermeldung oder einen Wartungshinweis angezeigt. Hintergrund sind zwei kritische Sicherheitslücken in PHP, einer technischen Grundlage vieler Internetangebote. Zahlreiche Betreiber nehmen Dienste vorsorglich vom Netz, um ihre Systeme zu schützen und Sicherheitsupdates einzuspielen. Eine abgeschaltete Webseite bedeutet deshalb nicht automatisch, dass bereits ein erfolgreicher Hackerangriff stattgefunden hat.
PHP arbeitet auf dem Server im Hintergrund. Die Software verarbeitet beispielsweise Anfragen, erzeugt Seiteninhalte und unterstützt den Betrieb von Internetanwendungen. Weil zahlreiche Angebote auf dieser Technik aufbauen, können Schwachstellen in PHP viele voneinander unabhängige Webseiten gleichzeitig betreffen. Das erklärt, warum an einem Tag unterschiedliche Portale, Unternehmen und Einrichtungen mit ähnlichen Problemen zu kämpfen haben.
Die aktuellen Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Beide wurden mit einem Schweregrad von 9,2 auf einer Skala bis 10 bewertet. Nach Angaben des PHP-Entwicklerteams können sie Angreifern ermöglichen, ohne vorherige Anmeldung fremden Programmcode auf betroffenen Servern auszuführen. Die Fehler betreffen die interne Verarbeitung von Speicher und Anfragen.
Die vorübergehenden Abschaltungen dienen dazu, dieses Risiko zu begrenzen. CERT-EU empfiehlt, öffentlich erreichbare PHP-Anwendungen zu isolieren, wenn eine sofortige Aktualisierung nicht möglich ist. Auch die deutsche Domainverwaltung DENIC hat nach eigenen Angaben ausgewählte Webseiten vorsorglich außer Betrieb genommen. Solche Schutzmaßnahmen können also selbst der Grund dafür sein, dass ein Angebot nicht erreichbar ist.
Inzwischen stehen Sicherheitsupdates bereit. Das PHP-Team hat am 21. Oktober die korrigierten Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 veröffentlicht. Betreiber sollen die für ihren Versionszweig passende Aktualisierung unverzüglich einspielen. Nach Angaben der Entwickler beheben vorläufige Schutzmaßnahmen das Problem nicht vollständig: Entscheidend ist das Update.
Wer selbst eine Webseite oder einen Onlineshop betreibt, sollte deshalb beim Hostinganbieter oder zuständigen Administrator nachfragen, ob die eingesetzte PHP-Installation bereits abgesichert wurde. Ein ausschließliches Update von WordPress oder anderen Anwendungen ersetzt die Korrektur der darunterliegenden PHP-Umgebung nicht. Bei älteren Installationen muss zudem geklärt werden, ob ein Sicherheitsupdate des jeweiligen Anbieters verfügbar ist oder ein Wechsel auf eine unterstützte Version erforderlich wird.
Für Besucher einer betroffenen Seite steht zunächst das Abwarten im Vordergrund. Die gemeldeten Schwachstellen betreffen die Servertechnik; ein nicht erreichbares Portal ist für sich genommen kein Hinweis auf einen Defekt am eigenen Computer oder Smartphone. Ob ein bestimmter Ausfall tatsächlich mit der PHP-Lücke zusammenhängt, lässt sich allerdings nur anhand der Informationen des jeweiligen Betreibers beurteilen. Auch eine pauschale Aussage, wann sämtliche Angebote wieder funktionieren, ist nicht möglich.
Stand: 21. Oktober 2026.
Hinweis: Dieser Beitrag wurde redaktionell von Gotha-Aktuell erstellt. Bei der Texterstellung kam unterstützend eine KI-Assistenz (ChatGPT von OpenAI) zum Einsatz.