Am 21. Oktober 2026 wurde eine kritische Sicherheitslücke in der Programmiersprache PHP bekannt. Unter dem Namen „PHP2Shell“ ging sie durch alle Medien – vom ZDF bis zu den großen Computerzeitschriften. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu eine offizielle Cybersicherheitswarnung herausgegeben.
Über die Lücke können Angreifer unter bestimmten Umständen aus der Ferne Schadcode auf Webservern ausführen. Betroffen sind zahlreiche Systeme, darunter verbreitete Content-Management-Systeme wie WordPress, Joomla!, Typo3 und Drupal.
Ja. Die Entwickler von PHP haben am 21. Oktober 2026 um 16:00 Uhr Sicherheitsupdates veröffentlicht. Website-Betreiber sollten sicherstellen, dass ihr Hosting-Anbieter diese Updates zügig eingespielt hat.
Gemeinsam mit unserem Hosting-Partner haben wir die Lücke auf allen von uns betreuten Websites bereits am 21. Oktober gegen 17:15 Uhr geschlossen.
Laut Medienberichten wurde die Lücke mithilfe von künstlicher Intelligenz entdeckt. Die Technik und die Bedrohungslage im Internet verändern sich massiv. Weil Angreifer zunehmend künstliche Intelligenz nutzen, um Schwachstellen aufzuspüren, ist davon auszugehen, dass solche Vorfälle häufiger auftreten. Umso wichtiger sind aktuelle Software-Versionen, regelmäßige Updates und Backups.
Ausführliche Informationen zur Sicherheitslücke finden Sie in diesen Beiträgen:
ZDF heute journal update: Sicherheitslücke bedroht Millionen Webseiten
BSI: Cybersicherheitswarnung zu PHP
CHIP: BSI schlägt Alarm – zwei PHP-Lücken bedrohen Millionen Webseiten
PHP ist die technische Grundlage, auf der die meisten Websites weltweit laufen – auch viele Praxis-Websites.
Die Programmiersprache sorgt im Hintergrund dafür, dass Inhalte geladen, Formulare verschickt und Seiten aktuell dargestellt werden. Eine Sicherheitslücke in PHP betrifft deshalb nicht eine einzelne Website, sondern Millionen Websites gleichzeitig.
