# taz.de -- Sicherheitslücke in Programmiersprache: Internetseiten teilweise noch offline
       
       > Weltweit waren zahlreiche Internetseiten abgeschaltet. Auch in
       > Deutschland warnen die Behörden vor Schwachstellen in der
       > Programmiersprache PHP.
       
 (IMG) Bild: Auch nicht erreichbar: das Städtische Klinikum Braunschweig
       
       afp/dpa | Nach dem Bekanntwerden einer gravierenden Sicherheitslücke in der
       Web-Programmiersprache PHP haben Regierungsbehörden und Unternehmen
       weltweit zahlreiche Internetseiten vorsorglich abgeschaltet. In Europa
       waren am Mittwoch unter anderem Websites in Deutschland, Frankreich, den
       Niederlanden und Belgien betroffen. Der US-Geheimdienst National Security
       Agency (NSA) und das Bundesamt für Sicherheit in der Informationstechnik
       (BSI) in Bonn [1][hatten wegen der Gefahr von Cyberangriffen dringend zu
       diesem Schritt geraten]. Zudem rieten sie zur „umgehenden“ Installation
       eines Sicherheitsupdates. BSI-Vizepräsident Thomas Caspers warnte auch
       Nutzer vor kompromittierten Websites.
       
       Die Sicherheitslücke könne es Hackern ermöglichen, sich „direkten Zugriff“
       auf Datensysteme oder Server-Datenbanken zu verschaffen, warnte die NSA.
       „Kritische Schwachstellen innerhalb der Programmiersprache PHP bedrohen
       aktuell weltweit Webanwendungen“, erklärte das BSI.
       
       Das Sicherheitsupdate wurde am Mittwoch zur Verfügung gestellt. Gelinge
       dies nicht, sollten die Internetseiten vorsorglich abgeschaltet werden,
       rieten NSA und BSI. Sonst könnten Cyberangreifer Server ohne ein Passwort
       übernehmen.
       
       PHP ist eine beim Erstellen von Websites und Webanwendungen weltweit
       verbreitete Programmiersprache. Laut BSI sind vermutlich alle Versionen bis
       mindestens PHP 5 betroffen. „Wenn Sie PHP einsetzen, ist es zwingend
       erforderlich, dass Sie jetzt ein Update vornehmen“, erklärte die
       PHP-Stiftung in einem Blogbeitrag.
       
       Betroffen sind nur Websites, die PHP auf eigenen Servern betreiben. Viele
       große Plattformen basieren auf anderen Programmiersprachen oder verfügen
       über Betreiber, die das Sicherheitsupdate zügig einspielen konnten, sodass
       sie weiterhin online bleiben konnten.
       
       ## Behörden in Deutschland waren offline
       
       In Deutschland nahmen am Mittwoch Landes- und Polizeibehörden sowie mehrere
       Städte ihre Angebote vorsorglich aus dem Netz, um Updates aufzuspielen.
       
       Am Morgen waren manche Angebote wieder freigeschaltet, darunter viele
       Internetseiten in Rheinland-Pfalz und im Saarland. Auch in Thüringen sind
       seit dem späten Mittwochabend viele Seiten wieder online, darunter jene der
       Staatskanzlei, der Landespolizei und des Innenministeriums.
       
       Auch mehrere Online-Services der Polizei in Nordrhein-Westfalen waren nach
       Behördenangaben wieder am Netz. „Nach intensiven Arbeiten konnten die
       Seiten wieder in Betrieb genommen werden“, teilte das Landesamt für
       Zentrale Polizeiliche Dienste mit. Andere prominente Webseiten in
       Nordrhein-Westfalen waren allerdings auch heute nicht erreichbar.
       
       Die [2][Berliner Polizei] meldete Ausfälle der „Internetwache“, über die
       Anzeigen gestellt werden können, und verwies auf die Notfallnummer 110.
       Betroffen war auch die Berliner Universitätsklinik Charité. Zudem nahmen
       zahlreiche Städte ihre Online-Angebote vorübergehend vom Netz, darunter
       München, Flensburg und Saarbrücken.
       
       In Frankreich waren die Internetauftritte mehrerer Behörden, unter ihnen
       die Pariser Polizei, nicht mehr erreichbar. In Belgien war unter anderem
       die Website des Außenministeriums offline. In den Niederlanden waren der
       digitale Identitätsdienst DigiD, die Parlamentswebsite und der
       Internetauftritt des nationalen Cybersicherheitszentrums betroffen.
       
       In Australien teilte das Australian Signals Directorate laut dem
       australischen öffentlich-rechtlichen Sender ABC mit, dass auch die eigene
       Website cyber.gov.au zu den von den Sicherheitslücken betroffenen
       Regierungswebsites gehöre. Nach Angaben der Wikimedia-Stiftung war auch das
       von ihr betriebene Online-Lexikon Wikipedia betroffen, die Nutzer sollten
       daher mit Ausfällen rechnen.
       
       ## Auch Apps betroffen
       
       Wie das Gaming-Nachrichtenportal Kotaku meldete, wurden am Mittwoch auch
       mehrere Apps der erfolgreichen Pokémon-Spiele offline geschaltet. In einem
       Fall wurden dabei Sicherheitsmaßnahmen als Grund genannt.
       
       Die Schwachstellen waren im August von der Sicherheitsfirma Calif und dem
       ChatGPT-Entwickler OpenAI gemeldet worden, die sie unabhängig voneinander
       am selben Tag entdeckt hatten. Wiz meldete später weitere Möglichkeiten,
       sie auszunutzen.
       
       Nach Einschätzung von Wiz basieren etwa 70 Prozent der weltweiten Websites
       auf PHP. Das Unternehmen bezeichnete die [3][Sicherheitslücken] als „eine
       der schwerwiegendsten Schwachstellen, die jemals in PHP – und womöglich in
       der gesamten Softwaregeschichte – entdeckt wurden“.
       
       Die Schwachstellen wurden den PHP-Entwicklern zunächst vertraulich gemeldet
       und blieben unter Verschluss, während an einer Lösung gearbeitet wurde.
       Details wurden am Dienstag – einen Tag vor der geplanten Veröffentlichung
       des Updates – online geleakt. Dies führte zur vorsorglichen Abschaltung
       vieler Websites.
       
       ## Neueste Version aufspielen
       
       Laut BSI-Vizepräsident Thomas Caspers konnte „bis zum jetzigen Zeitpunkt“
       noch nicht beobachtet werden, „dass eine große Schadwirkung eingetreten
       ist“. „Allerdings, wer heute noch nicht seine Webanwendungen patcht und
       eben die neueste Version aufspielt, läuft wirklich Gefahr, jetzt sehr
       kurzfristig dann doch betroffen zu sein“, sagte Caspers am Mittwochabend in
       den ARD-„Tagesthemen“ mit Blick auf die Aktualisierung der
       Sicherheitsupdates. Es sei davon auszugehen, dass nicht alle Betreiber die
       Updates installierten. „Dann werden wir auch die ersten Schäden sehen.“
       
       „Wer heute noch nicht seine Webanwendungen patcht und eben die neueste
       Version aufspielt, läuft wirklich Gefahr, jetzt sehr kurzfristig dann doch
       betroffen zu sein“, warnte er. Nutzer sind laut Caspers zunächst jedoch
       nicht betroffen. Allerdings sollten Verbraucher darauf achten „und auch
       damit rechnen“, dass in den nächsten Tagen über möglicherweise
       kompromittierte Webseiten versucht werden könnte, „Schadgut auch auf ihren
       Systemen“ zu installieren.
       
       Der KI-Experte Ethan Mollick von der US-Elitehochschule University of
       Pennsylvania warnte zugleich, dass Unternehmen Mühe hätten, mit dem Tempo
       der Updates Schritt zu halten, die zum Schutz vor [4][KI-gestützten
       Cyberangriffen] erforderlich seien. Auch Verbraucher würden nun die
       Erfahrung machen, „dass alles häufig und schnell aktualisiert wird“,
       schrieb er auf X.
       
       22 Oct 2026
       
       ## LINKS
       
 (DIR) [1] http://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261021_PHP-kritische-Schwachstelle.html
 (DIR) [2] /Fiasko-nach-Hackerangriff-in-Berlin/!6210542
 (DIR) [3] /Cybersicherheitsmonitor-2026/!6177778
 (DIR) [4] /Cyberattacke-von-OpenAI-Bots-im-Juli-Das-sollte-uns-beunruhigen/!6209416
       
       ## TAGS
       
 (DIR) Cybersicherheit
 (DIR) Cyberkriminalität
 (DIR) Cyberattacke
 (DIR) Internet
       
       ## ARTIKEL ZUM THEMA
       
 (DIR) PHP-Lücke in Deutschland: Viele deutsche Webseiten sind wieder erreichbar
       
       Die PHP-Lücke ist geschlossen, aber damit ist die Gefahr nicht weg: Hacker
       könnten sich vor dem Update eingenistet haben. Worauf es jetzt ankommt.
       
 (DIR) Sicherheitslücke bei PHP: KI kann auch eine Freundin sein
       
       Die weltweite Sicherheitslücke bei PHP wurde erst dank KI entdeckt. Würde
       KI besonnen eingesetzt, könnte sie Daten schützen.
       
 (DIR) Hackerangriff auf Berliner Verwaltung: Perso-Kopie von Ute Bonde im Darknet aufgetaucht
       
       Nach dem Hackerangriff auf Berlins Verwaltung stehen hochsensible Daten im
       Netz. Der Senat erklärt die Notfalllage für beendet, doch die Aufarbeitung
       läuft schleppend.
       
 (DIR) Interne E-Mails öffentlich: AfD blamiert sich mit Datenleak
       
       Bei der AfD kommt es zu einem E-Mail-Datenleak: Zehntausende interne Mails
       gelangen auf eine öffentliche Website.
       
 (DIR) Massiver Datendiebstahl: Hackerangriff auf zentrales Melderegister in Dänemark
       
       Dänemark meldet eine Attacke auf ein Datensystem, in dem Informationen von
       Bürgerinnen und Bürgern registriert sind. Fast neun Millionen Daten wurden
       entwendet.