Riesige PHP-Sicherheitslücke in Millionen Websites - diese Aktien profitieren davon

Eine schwerwiegende Sicherheitslücke könnte das weltweit das Fundament zahlreicher Webseiten und Onlinedienste ins Wanken bringen. Betroffen ist die weit verbreitete Programmiersprache PHP, auf der ein Großteil des gesamten Internets basiert. Was bisher bekannt ist.

Von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops– all diese Websites könnten womöglich in Kürze gekapert, fremdgesteuert oder ihre Daten abgesaugt werden. Betroffen ist auch das weit verbreitete Content-Management-System (CMS) WordPress. Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden. Auch Content-Management-Systeme wie Moodle, Joomla!, Typo3 und Drupal sind betroffen.

Hintergrund ist eine Sicherheitslücke in der Programmiersprache PHP, die erst jetzt entdeckt wurde. Und die ist offenbar wirklich gravierend: Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam schlug am Mittwoch auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) Alarm und hat eine offizielle Cybersicherheitswarnung herausgegeben. Dutzende Websites von Krankenhäusern und Behörden gingen bereits vorsichtshalber vom Netz. Die Stadt Mainz etwa hat nach der Warnung des Bundes vorsorglich mehrere städtische Internetdienste und ihr zentrales Portal mainz.de deaktiviert. Wie die Stadtverwaltung mitteilte, bleiben die Ämter und Bürgerbüros telefonisch und per E-Mail weiterhin erreichbar, auch bereits vereinbarte Termine finden wie geplant statt.

BSI stuft Lage als "kritisch" ein

In seiner veröffentlichten Warnung (Aktenzeichen BITS-H Nr. 2026-297981-1032) ordnet das BSI das Risiko mit der Warnstufe "3 / Orange" als außerordentlich hoch ein. Dies bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, da eine massive Beeinträchtigung des Regelbetriebs droht. Das BSI wies in seiner Mitteilung explizit darauf hin, dass von den Schwachstellen ein herausragendes Bedrohungspotenzial ausgeht.

Das Amt machte deutlich, wie ernst die Lage ist, falls nicht umgehend Sicherheitsupdates installiert werden können: „Alternativ kann eine vorübergehende Trennung des Webservers vom Internet bis zum Einspringen des Patches erwogen werden, um eine Kompromittierung zu verhindern, sollten Patches nicht kurzfristig installiert werden können.“

Dass das BSI Betreibern von Internetangeboten explizit rät, ihre Server im Zweifel komplett vom Netz zu nehmen, ist ungewöhnlich und unterstreicht den Ernst der Lage.

Börse reagiert - teilweise

An der Börse legten Cybersecurity-Aktien stark zu. Cloudflare verbuchte Kursgewinne von fast sieben Prozent, Crowdstrike stieg um drei Prozent. Auch Palo Alto Networks gehört mit plus vier Prozent zu den Gewinnnern. Auf Seiten der Betreiber von großen Websites blieb es erstaunlich ruhig. Aktien von E-Commerce-Unternehmen Unternehmen wie Ebay in den USA oder Scout24 in Deutschland stiegen sogar. das liegt wohl auch daran, dass man davon ausgeht, dass sie nicht (mehr) auf PHP-Protokolle setzen. Treffen könnte die Sicherheitslücke dagegen kleinere Medienseiten und Blogs, die auf Wordpress setzen. 

Hacker können gesamte Server kapern

Unter dem Namen "PHP2Shell" warnen Sicherheitsexperten vor gleich zwei kritischen Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert wurden.

Kriminelle Akteure könnten diese ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen (Remote Code Execution). Dieser ermöglicht den Angreifern dann, die vollständige Kontrolle über eine Website zu übernehmen, sensible Datenbanken und Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.

Normalerweise finden die Gegenmaßnahmen im Stillen statt, um möglichst nicht zu viele Hacker auf die Sicherheitslöcher aufmerksam zu machen. Da diesmal aber offenbar detaillierte Informationen zu der Schwachstelle unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche nun unter erheblichem Zeitdruck. Branchenexperten befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen werden, um ungeschützte Server im Internet im Sekundentakt aufzuspüren und zu kapern.

Sofortige Maßnahmen erforderlich

Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen, die technisch auf PHP aufsetzen, gilt derzeit höchste Dringlichkeit, die eine sofortige Reaktion erfordern. IT-Experten raten dringend dazu, sich unverzüglich mit den zuständigen Systemadministratoren, IT-Dienstleistern oder Webhosting-Anbieter in Verbindung zu setzen.

Verfügbare Patches und Sicherheitsupdates für die PHP-Umgebung sowie für genutzte Content-Management-Systeme müssen ohne jeden Verzug eingespielt werden. Ältere PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, stellen ein unkalkulierbares Risiko dar und sollten isoliert oder umgehend aktualisiert werden.

Sicherheitsupdate angekündigt

Die Entwickler des PHP-Projektes kündigten für Mittwochnachmittag (16 Uhr) die Veröffentlichung eines Sicherheitspatches an. Der Expertendienst Heise Security warnte die Website-Betreiber, dass funktionierende Exploits in Stunden-, spätestens Tagesfrist erscheinen würden. Wer das Risiko einer Kompromittierung nicht eingehen wolle, habe nur eine Option, nämlich die PHP betriebenen Web-Server vom Netz zu trennen.

Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC zwar kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund.

Die besten Titel aus dem Technologiesktor

Mit dem „Tech-Giganten-Index“ von BÖRSE ONLINE holen Sie sich 15 Tech-Giganten auf einen Schlag ins Portfolio: von Nvidia bis Tesla, von Micron bis Palantir – und natürlich Apple. Wie Sie investieren können und welche Strategien dafür zur Wahl stehen, erfahren Sie hier.

Enthält Material von dpa-AFX

Häufige Fragen zum Thema

Welche neue Sicherheitslücke gefährdet Internet-Server weltweit?

Hintergrund ist eine Sicherheitslücke in der Programmiersprache PHP, die erst jetzt entdeckt wurde. Daurch könnten diverse Websites, von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops in Kürze gekapert, fremdgesteuert oder ihre Daten abgesaugt werden. Betroffen ist auch das weit verbreitete Content-Management-System (CMS) WordPress. Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden.

Was können die Betroffenen tun?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine offizielle Cybersicherheitswarnung herausgegeben und rät dazu, umgehend Sicherheitsupdates zu installieren. Alternativ müsse eine vorübergehende Trennung des Webservers vom Internet bis zum Einspringen des Patches erwogen werden, "um eine Kompromittierung zu verhindern".

Sind schon Websites vom Netz gegangen?

Ja, aber freiwillig.  Dutzende Krankenhäuser und Behörden in Deustchland habe ihre Websites vom Internet betrennt. Die Stadt Mainz etwa hat nach der Warnung des Bundes vorsorglich mehrere städtische Internetdienste und ihr zentrales Portal mainz.de deaktiviert. Wie die Stadtverwaltung mitteilte, bleiben die Ämter und Bürgerbüros telefonisch und per E-Mail weiterhin erreichbar, auch bereits vereinbarte Termine finden wie geplant statt.