Zwei kritische Sicherheitslücken in PHP treffen Webserver weltweit. Das Bundesamt für Sicherheit in der Informationstechnik warnt vor der Gefahr, dass Angreifer aus der Ferne Schadcode auf verwundbaren Servern ausführen können. Deutsche Hochschulen nehmen deshalb Internetseiten vorsorglich vom Netz. Eine Abschaltung ist dabei eine Schutzmaßnahme und noch kein Beleg für einen erfolgreichen Angriff.

Die Ruhr-Universität Bochum sperrte ihre Webseiten am Mittwoch ab 12.30 Uhr für Zugriffe von außen. Der Zugang aus dem Campusnetz und per VPN blieb nach ihren Angaben möglich. Die Sperre war zunächst bis Donnerstagmittag vorgesehen. Auch die Universität Freiburg schaltete zentrale Webseiten und weitere Dienste vorsorglich ab. Der deutsche Domainverwalter DENIC meldet die zeitweilige Abschaltung ausgewählter eigener Webseiten; seine Kerninfrastruktur läuft nach eigenen Angaben weiter.

Betroffen sind die Schwachstellen CVE-2026-109618 und CVE-2026-109619. Nach Angaben der PHP-Entwickler können sie unter bestimmten Bedingungen die Ausführung von Code ohne Anmeldung ermöglichen. PHP ist die Grundlage zahlreicher Webseiten und Anwendungen. Deshalb kann die Warnung auch Betreiber treffen, die selbst gar keine besondere Software installiert zu haben glauben.

Für die unterstützten PHP-Versionen 8.2 bis 8.5 wurden inzwischen Sicherheitsupdates veröffentlicht: 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Betreiber müssen die für ihren Server passende Version einspielen oder ihren Hoster dazu veranlassen. Ein gewöhnliches WordPress-Plugin-Update allein behebt keine Lücke in der darunterliegenden PHP-Laufzeit.

Wie abhängig öffentliche Dienste von wenigen technischen Grundlagen geworden sind, zeigte F-News zuletzt an der Berliner Behörden-IT nach einem Datenabfluss und an einer Warnung vor zentralisierten Justizdiensten. Jetzt genügt die Entdeckung zweier Fehler in einer weit verbreiteten Programmiersprache, damit Universitäten ihre Webseiten vorsorglich abschalten. Wann alle betroffenen Dienste wieder erreichbar sind, hängt vom Einspielen und Prüfen der Updates ab.