Cyber-Alarm: Millionen Angriffe auf Webseiten

Die Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 wurden mit einem kritischen CVSS-Wert von 9,2 von 10 eingestuft. Sie betreffen PHP, eine weit verbreitete Programmiersprache, die auf zahlreichen Webseiten zum Einsatz kommt.

Laut dem Bericht der "Computerwoche" bilden PHP-Anwendungen die technische Grundlage für rund 70 Prozent aller Webseiten. Dazu zählen unter anderem Systeme wie WordPress, Drupal und Magento. Die Sicherheitslücken sollen mithilfe künstlicher Intelligenz entdeckt worden sein und mehr als zehn Jahre unbemerkt geblieben sein.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) reagierte demnach mit einer dringenden Warnung. Auch österreichische Einrichtungen waren betroffen: Webseiten der Universität Wien und der TU Wien wurden vorsorglich vom Netz genommen.

Unter dem Namen "PHP2Shell" werden die beiden Schwachstellen zusammengefasst. Der Hosting-Anbieter Cloudflare soll bereits Millionen Angriffe registriert haben.

Gelingt es Angreifern, einen Server zu übernehmen, können die Folgen gravierend sein: Sie könnten Kundendaten und Passwörter stehlen, Webseiten manipulieren oder Schadsoftware einschleusen. Sicherheitsexperte Dennis-Kenji Kipker warnt deshalb vor den weitreichenden Folgen eines erfolgreichen Angriffs.

Die PHP Foundation empfiehlt betroffenen Unternehmen dringend, auf abgesicherte Versionen umzusteigen. Genannt werden PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Unternehmen sollten dabei nicht nur ihre eigene Webseite prüfen, sondern auch weitere eingesetzte Systeme und Dienste berücksichtigen.

Für Menschen, die ganz normal mit dem Smartphone oder Computer im Internet surfen, besteht laut den vorliegenden Informationen kein unmittelbarer Handlungsbedarf. Die Schwachstellen betreffen Server im Hintergrund und nicht direkt die Endgeräte der Nutzer.

Indirekte Folgen sind dennoch möglich. Werden Online-Dienste angegriffen oder müssen Webseiten vorsorglich abgeschaltet werden, kann es zu Ausfällen kommen. Auch ein möglicher Abfluss persönlicher Daten lässt sich nicht grundsätzlich ausschließen.