Eine schwerwiegende Sicherheitslücke in der weitverbreiteten Programmiersprache PHP sorgt am Mittwoch (21. Oktober 2026) weltweit für erhebliche Einschränkungen im Internet. Zahlreiche Behörden, Kommunen, Universitäten und Unternehmen haben ihre Webseiten vorsorglich abgeschaltet. Auch in Bayern sind Internetauftritte betroffen. In Augsburg gehört nach vorliegenden Informationen auch die städtische Webseite augsburg.de zu den zeitweise nicht erreichbaren Angeboten.
Hintergrund sind zwei kritische Schwachstellen in PHP, die unter dem Namen „PHP2Shell“ bekannt geworden sind. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Nach Angaben der PHP-Entwickler können die Sicherheitslücken unter bestimmten Voraussetzungen dazu führen, dass Angreifer aus der Ferne Schadcode auf betroffenen Servern ausführen, ohne sich zuvor anmelden zu müssen. Im schlimmsten Fall könnten Kriminelle dadurch die Kontrolle über Server erlangen oder auf gespeicherte Daten zugreifen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die Bedrohung als kritisch. Da PHP auf zahlreichen Webseiten eingesetzt wird, ist das mögliche Ausmaß erheblich. Betroffen sein können unter anderem Internetauftritte mit WordPress, TYPO3, Drupal und Joomla sowie Onlineshops und andere Webanwendungen. Allerdings ist nicht automatisch jede Webseite gefährdet, die eines dieser Systeme verwendet.
Stadt Augsburg und bayerische Behörden betroffen
Auch in Augsburg macht sich die Sicherheitslage bemerkbar. Die offizielle Internetseite der Stadt unter www.augsburg.dewurde nach vorliegenden Informationen vorsorglich vom Netz genommen. Eine unabhängige Bestätigung der Stadt für den konkreten Grund und die Dauer der Abschaltung liegt bislang nicht vor.
Bayernweit waren am Mittwochnachmittag außerdem die Webseiten mehrerer Ministerien und der Bayerischen Polizei zeitweise nicht erreichbar. Teilweise erschien lediglich ein Hinweis, dass das jeweilige Internetangebot aus sicherheitstechnischen Gründen derzeit nicht zur Verfügung stehe. Auch das Landratsamt Rhön-Grabfeld und das Klinikum Nürnberg gehörten zu den betroffenen Einrichtungen.
Die Abschaltungen dienen in erster Linie dem Schutz der IT-Systeme. Sie bedeuten nicht, dass die betroffenen Behörden oder Einrichtungen bereits Opfer eines erfolgreichen Hackerangriffs geworden sind.
Zahlreiche weitere Webseiten vorsorglich abgeschaltet
Die Sicherheitslücke hat auch außerhalb Bayerns erhebliche Auswirkungen. Zu den Einrichtungen und Angeboten, die vorübergehend abgeschaltet oder eingeschränkt wurden, gehören unter anderem:
-
Stadt Mainz: Das zentrale Stadtportal mainz.de sowie weitere kommunale Internetdienste wurden vorsorglich deaktiviert.
-
Universität Freiburg: Mehrere zentrale Webseiten, WordPress-Angebote, das Intranet und die Lernplattform ILIAS waren betroffen.
-
Universität Basel: Verschiedene Dienste, darunter die Lernplattform ADAM, Personensuche und TYPO3-Zugänge, wurden vorsorglich gestoppt.
-
DENIC: Die deutsche Domainverwaltung nahm ausgewählte Webseiten vorübergehend offline. Die zentrale Domainregistrierung blieb funktionsfähig.
-
Bundesverwaltung: Der IT-Dienstleister ITZBund schaltete mehrere Webseiten vorsorglich ab.
-
Europäische Behörden: Auch in Frankreich, Belgien und den Niederlanden wurden staatliche Internetangebote zeitweise deaktiviert.
Die Maßnahmen zeigen, wie weitreichend die Folgen einer Sicherheitslücke in einer grundlegenden Webtechnologie sein können. Selbst wenn die eigentlichen Verwaltungs- und Unternehmenssysteme weiterlaufen, können öffentliche Informationsangebote und digitale Dienstleistungen zeitweise nicht erreichbar sein.
Sicherheitsupdates seit Mittwochnachmittag verfügbar
Die PHP-Entwickler haben am 21. Oktober Sicherheitsupdates veröffentlicht. Die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen die beiden kritischen Schwachstellen. Betreiber entsprechender Systeme werden dringend aufgefordert, die aktualisierten Versionen einzuspielen.
Besonders problematisch ist die Situation für Webseitenbetreiber, die ihre PHP-Version nicht selbst aktualisieren können und auf ihren Hosting-Anbieter angewiesen sind. Solange die notwendigen Sicherheitskorrekturen nicht verfügbar oder installiert sind, kann eine vorübergehende Abschaltung betroffener Systeme eine Schutzmaßnahme sein.
Für gewöhnliche Internetnutzer besteht zunächst kein unmittelbarer Handlungsbedarf. Sie müssen allerdings damit rechnen, dass einzelne Behördenportale, Informationsseiten oder Onlinedienste zeitweise nicht erreichbar sind. Wann sämtliche Angebote wieder regulär zur Verfügung stehen, hängt davon ab, wie schnell die jeweiligen Betreiber die Sicherheitsupdates installieren und ihre Systeme überprüfen können.
