Am Mittwoch waren plötzlich zahlreiche Behördenportale in Europa nicht mehr erreichbar. Der Grund war keine Attacke, sondern Vorsicht: Die Entwickler der Programmiersprache PHP hatten zwei schwere Sicherheitslücken gemeldet, und viele Betreiber zogen lieber den Stecker, als auf das Update zu warten.
PHP läuft auf grob drei Vierteln aller Webseiten, deren Technik sich bestimmen lässt, auch WordPress, Drupal und Joomla bauen darauf auf. Die beiden Fehler mit den Kennungen CVE-2026-109618 und CVE-2026-109619 tragen zusammen den Namen „PHP2Shell“. Sie erlauben es Angreifern, ohne Anmeldung eigenen Code auf einem Server auszuführen. Entdeckt haben sie Fachleute von Calif, OpenAI und Wiz. Ursache ist, dass PHP seinen Speicher in einem beschädigten Zustand hinterlassen kann, wenn eine Anfrage unsauber abbricht.
In den Niederlanden schaltete die nationale Cyberbehörde ihre eigene Seite ab, ebenso der Hafen Rotterdam, das Regierungsportal Overheid.nl, der Fußballverband KNVB und mehrere Kliniken. In Finnland nahm der staatliche IT-Dienstleister Valtori öffentliche Dienste vom Netz, in Frankreich traf es Webseiten der Kommunalverwaltung, in Dänemark unter anderem eine Schulplattform. Der Sicherheitsdienstleister Cloudflare meldete erste Angriffsversuche.
Am frühen Nachmittag europäischer Zeit standen reparierte Fassungen für alle gepflegten Zweige von 8.2 bis 8.5 bereit. Ältere Zweige ab 8.1 abwärts werden offiziell nicht mehr gepflegt, für sie gibt es nur Quellcode-Flicken. Wichtig für Blogbetreiber: Das automatische WordPress-Update hilft hier nicht, weil die Sprache selbst auf dem Server erneuert werden muss. Zuständig ist oft der Hoster.
Experten sorgen sich vor allem um kleine Seiten auf geteilten Servern, deren Betreiber keinen direkten Zugriff auf die Technik haben. Der Forscher Lukasz Olejnik warnt zudem, mit KI-Hilfe könnten Angreifer verwundbare Systeme in kürzester Zeit massenhaft aufspüren.
