Kaum ein Webdienst läuft ohne PHP. Sicherheitsexperten warnen vor einer hochkritischen Schwachstelle in der Programmiersprache. Bedroht sind potenziell Millionen von Webservern, darunter Onlineshops, Behördenportale und auch Content Management Systeme wie WordPress. Etliche Betreiber haben ihre Website vorsichtshalber vom Netz genommen, bis Sicherheitsupdates aufgespielt werden konnten. Warum das so ist und was jeder selbst tun kann, das erklärt Leonard Renners, Professor für Informatik mit dem Schwerpunkt IT-Sicherheit an der Ostfalia Hochschule, im Interview:
Viele Menschen haben durch die weltweiten Sicherheitswarnungen gestern vermutlich das erste Mal bewusst von PHP gehört. Was ist das eigentlich und warum betrifft uns diese Sicherheitslücke im Alltag?
PHP ist eine Skriptsprache, die bei dem Betrieb dynamischer Webseiten eingesetzt wird. Sie kommt unter anderem bei Content-Management-Systemen wie WordPress zum Einsatz, mit denen Websites und Blogs erstellt werden, aber auch bei Cloud-Diensten wie Nextcloud und ownCloud. Gerade weil PHP so weit verbreitet ist, können die Sicherheitslücken sehr viele Internetangebote unseres digitalen Alltags betreffen.
Was genau kann passieren, wenn eine Website oder ein Online-Shop diese Lücke nicht (rechtzeitig) schließt?
Genau genommen wurden zwei Sicherheitslücken veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Beide haben eine Kritikalitätsbewertung von 9,2 von 10 erhalten, insbesondere weil eine sogenannte „unauthenticated remote code execution“ möglich ist. Das bedeutet, dass ein Angreifer über das Netzwerk ohne vorherige Anmeldung und ohne Mitwirkung durch das Opfer eigenen Schadcode auf einem verwundbaren Server ausführen kann. Dieser Schadcode wird dabei mit den Rechten des betroffenen Prozesses ausgeführt, der die Website bereitstellt. Dadurch kann ein Angreifer unter Umständen auf Daten zugreifen und diese auslesen, verändern oder löschen. Wie weit die Kontrolle über den Server reicht, hängt im Spezifischen von den Rechten des Prozesses und der jeweiligen Systemkonfiguration ab.
Sicherheitslücken gibt es immer wieder. Diese scheint jedoch eine andere Dringlichkeit zu haben. Woran liegt das? Auch daran, dass Cyberangriffe durch KI-Entwicklung agiler und wahrscheinlicher geworden sind?
Ein Faktor ist sicherlich die zunehmende Nutzung generativer KI. Sie kann die Entwicklung und insbesondere die Anpassung von sogenannten Exploits – also Schadcode, der eine Schwachstelle ausnutzt – erleichtern und beschleunigen. Die besondere Dringlichkeit ergibt sich in diesem Fall aber vor allem aus der hohen Kritikalität der Schwachstellen in Verbindung mit der weiten Verbreitung von PHP.
Wenn jemand beispielsweise eine kleine WordPress-Website hat und im Grunde kein IT-Expertenwissen hat und auch keine Agentur beauftragt hat, was würden Sie dieser Person jetzt raten?
Inzwischen sind aktualisierte Softwarepakete verfügbar. Mein Rat ist deshalb, die notwendigen Sicherheitsupdates so schnell wie möglich einzuspielen und somit die Webseiten abzusichern. Wichtig ist, dass ein Update von beispielsweise WordPress allein unter Umständen nicht ausreicht, weil die Sicherheitslücke PHP selbst betrifft und daher das zugrundeliegende Softwarepaket aktualisiert werden muss. Auch die teilweise vorgeschlagenen Workarounds können nach Angaben der PHP-Entwickler selbst keinen umfassenden Schutz bieten und die sichere Lösung ist deshalb, die aktualisierte PHP-Version zu verwenden.
Wenn ein Sicherheitsupdate nicht zeitnah möglich ist, sollte die Website bis zur Behebung der Schwachstelle vorübergehend offline genommen oder vom öffentlichen Zugriff abgeschirmt werden.
Müssen normale Internet-Nutzende jetzt panisch werden, oder liegt die Verantwortung bei den Website-Betreibern?
Nein, ein Grund zur Panik besteht nicht. Der unmittelbare Handlungsbedarf liegt vor allem bei den Betreibern der betroffenen Server und Websites. Für Nutzerinnen und Nutzer besteht allerdings ein indirektes Risiko: Es kann zu Einschränkungen bei der Verfügbarkeit von Online-Diensten kommen und sofern ein genutzter Dienst erfolgreich angegriffen wurde, können auch persönliche Daten betroffen sein. Die Betreiber müssen solche Vorfälle untersuchen und Betroffene gegebenenfalls informieren.