Zwei kritische PHP-Schwachstellen (CVE-2026-109618/109619) bedrohen weltweit Millionen Webseiten. BSI warnt mit Stufe Orange. Hunderte deutsche Webseiten offline – inklusive Behörden, Krankenhäuser und Universitäten. Notfall-Updates verfügbar, aber automatisierte Angriffswellen laufen bereits an.
Am Mittwoch, den 21. Oktober 2026, um 16:00 Uhr lösten zwei neu entdeckte Schwachstellen in der Programmiersprache PHP einen weltweiten IT-Notfall aus. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte eine Cybersicherheitswarnung mit der höchsten praktischen Warnstufe „3 / Orange" (Aktenzeichen: BITS-H Nr. 2026-297981-1032).
Die Behörde warnt: „Von den Schwachstellen geht ein herausragendes Bedrohungspotenzial aus."
Innerhalb weniger Stunden nahmen Hunderte deutsche Webseiten ihren Betrieb vorsorglich offline:
Die Schwachstellen, unter dem Namen PHP2Shell bekannt, sind registriert als CVE-2026-109618 und CVE-2026-109619. Beide erhalten im CVSS 4.0 die Bewertung 9.2 von 10 Punkten – kritisch.
Die Schwachstellen ermöglichen Angreifern, aus der Ferne beliebigen Schadcode auf Webservern auszuführen – ohne Anmeldung und ohne Nutzerinteraktion.
Was Angreifer tun können:
PHP ist die meistgenutzte serverseitige Programmiersprache. Circa 70 Prozent aller Webanwendungen weltweit nutzen PHP:
Die Details gelangten unbeabsichtigt vor der Patch-Veröffentlichung an die Öffentlichkeit. Angreifer hatten einen Zeitvorteil.
Thomas Caspers, BSI-Vizepräsident: „Wir erwarten massive Ausnutzung binnen Stunden. Angreifer könnten KI-gestützte Werkzeuge nutzen."
Notfall-Updates sind verfügbar (seit 21.10.2026, 16:00 Uhr):
`# PHP-Version prüfen
php -v
# Debian/Ubuntu
sudo apt update && sudo apt upgrade php
# RHEL/CentOS
sudo yum update php
# Docker
FROM php:8.3.19-apache`
IT-Experte Christoph Fischer: „Systeme ohne Update dürfen unter keinen Umständen am Netz bleiben. Jede ungeschützte PHP-Anwendung ist eine offene Tür."
Priorisierung:
Große Provider (IONOS, Hetzner, 1&1, Strato) rollen Updates automatisch aus. Trotzdem prüfen:
DSGVO-Pflicht: Bei Kompromittierung müssen Sie nachweisen, welche Daten betroffen sind.
Ja, indirekt. Angreifer können auf Datenbanken zugreifen:
Wichtig: Auf Nutzer-Endgeräten besteht keine direkte Gefahr. Die Schwachstelle liegt auf Servern.
Vermutlich durch KI-gestützte Code-Audits – die Schwachstellen wurden jahrzehntelang übersehen.
Aber: Angreifer nutzen dieselbe Technologie.
KI wirkt als Katalysator auf beiden Seiten.
Angriffswellen laufen Wochen bis Monate. Christoph Fischer: „Es wird Monate dauern, bis Millionen Systeme bereinigt sind."
Entwarnung erst, wenn:
Problem: ~15% der Server laufen auf PHP 7.x, ~5% auf PHP 5.x – diese sind nicht patchbar.
Update eingespielt, keine Ausnutzung festgestellt. Einige Dienste noch offline.
130 Kommunen betroffen (Halberstadt, Stendal, Wernigerode). Wiederinbetriebnahme läuft.
berlin.de mit Einschränkungen (Stand: 22.10., 09:00 Uhr).
PHP2Shell markiert einen Wendepunkt. Die Kombination aus:
macht dies zu einer der gefährlichsten Sicherheitskrisen der letzten Jahre.
Wer jetzt nicht handelt, spielt mit dem Feuer.
Der DevSecOps-Markt wächst bis 2035 von 10 auf 68 Milliarden US-Dollar. Cloud-native Anwendungen machen bereits 48% des Marktes aus – ein fundamentaler Shift, der auch KMU zum Handeln zwingt.
weiterlesen: DevSecOps-Markt explodiert: Warum 48% auf Cloud-Native CI/CD Security setzen – und was das für KMU bedeutetQuantencomputer bedrohen die heutige Verschlüsselung – und Angreifer sammeln bereits Daten für die Zukunft. Mit den neuen NIST-Standards und klaren Fristen durch BSI und EU ist es Zeit zu handeln. Ein Leitfaden für IT-Verantwortliche in KMU.
weiterlesen: Quantum-Safe Encryption: Warum die Vorbereitung auf die Post-Quanten-Ära jetzt beginnen mussUnternehmen managen heute durchschnittlich 83 verschiedene Security-Tools – mit fatalen Folgen für Reaktionszeiten und Budgets. Warum 2026 der Wendepunkt für MSSP-Integration ist und wie KMUs durch Konsolidierung 4-fachen ROI erzielen.
weiterlesen: Tool Sprawl-Konsolidierung: Warum 2026 das Jahr der MSSP-Integration wirdIhre digitale Vision ist bei uns in besten Händen. Ob Website, Webshop oder individuelle Anwendung – bei CODISH finden Sie Beratung, Umsetzung und Support aus einer professionellen Hand.
Guten Tag, ich bin DASI, der digitale Assistent von CODISH.
Ich kenne die Inhalte dieser Website wie Leistungen, Referenze, Blogbeiträge und beantworte Ihre Fragen dazu mit Angabe der Quellen. Sie müssen also nicht selbst suchen: Fragen Sie einfach, oder beschreiben Sie Ihr Vorhaben, und ich zeige Ihnen die passenden Stellen.
