Kritische Sicherheitslücke in PHP: Websites vorübergehend offline
Websites, die mit PHP laufen, sind heute vorübergehend offline. Sie sind voraussichtlich heute Abend wieder erreichbar.
Warnung des BSI, Kritikalität 3 / Orange: Das Bundesamt für Sicherheit in der Informationstechnik hat zu dieser Lücke einen Sicherheitshinweis der Stufe Orange herausgegeben. Das bedeutet laut BSI: „Maßnahmen müssen unverzüglich ergriffen werden.“
BSI-Sicherheitshinweis 2026-297981-1032 lesen (PDF)- Was ist passiert?
- In PHP, der Software, mit der viele Websites laufen, wurde eine kritische Sicherheitslücke bekannt. Das Sicherheitsupdate erscheint am 21. Oktober 2026 um 16 Uhr.
- Warum sind die Websites offline?
- Bis das Update eingespielt ist, haben wir die betroffenen Websites vom Netz genommen, damit niemand die Lücke ausnutzen kann. So bleiben die Daten der Kunden und Besucher, die Daten der Website-Betreiber und die Server selbst geschützt.
- Was muss ich tun?
- Nichts. Sobald das Update eingespielt ist, schalten wir die Websites wieder online und informieren auf dieser Seite.
Technische Details anzeigen
- Schwachstellen: CVE-2026-109618 und CVE-2026-109619 („PHP2Shell“), je CVSS v4.0 9.2 (kritisch)
- Art: Codeausführung aus der Ferne ohne Anmeldung (Remote Code Execution) im PHP-Kern, unabhängig von der jeweiligen Anwendung (z. B. WordPress)
- Betroffene und behobene Versionen: veröffentlicht das PHP-Team mit dem Update am 21.10.2026, 14:00 UTC
- Maßnahme: Webserver abgeschaltet, bis die korrigierten PHP-Versionen installiert sind, entsprechend den Empfehlungen von BSI, CERT-EU und CERT.at
- Quellen: php.net · BSI-Sicherheitshinweis 2026-297981-1032 · CERT-EU Advisory 2026-018 · CERT.at
Websites running on PHP are temporarily offline as a precaution. A critical security vulnerability in PHP has been disclosed. To protect the data of customers, visitors and website operators as well as the servers themselves, affected websites stay offline until the security update is installed, expected later today (21 October 2026). E-mail, telephone and other services are not affected. The German Federal Office for Information Security (BSI) rates the issue criticality 3 / orange (“measures must be taken immediately”): BSI advisory (PDF, German). Details: CVE-2026-109618, CVE-2026-109619.