Gravierende Sicherheitslücke bedroht weltweit Websites: Cyber-Risikoexperten in Luxemburg beraten

Eine neu entdeckte, schwerwiegende Sicherheitslücke bringt weltweit das Fundament zahlreicher Webseiten und Onlinedienste ins Wanken. Betroffen ist die weit verbreitete Programmiersprache PHP, auf der ein Großteil des gesamten Internets basiert – von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.

Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden. Auf PHP setzen aber auch andere populäre Content-Management-Systeme wie Moodle, Joomla!, Typo3 und Drupal.

Experten für Cyberrisiken beraten in Luxemburg

Die Sicherheitslücke rief in Luxemburg am Mittwoch die Cyber-Risikobewertungsstelle (CERC) auf den Plan. An der Sitzung nahmen Fachleute von Armee, Regierung und mehreren Behörden teil. Das Ergebnis: Böswillige Akteure könnten die digitalen Schwachstellen ausnutzen, so die CERC in einer Mitteilung.

„Angesichts dieser Situation haben die luxemburgischen Behörden mehrere präventive Maßnahmen ergriffen, um das Risiko zu verringern und den Schutz der potenziell betroffenen Systeme zu stärken“, betonte das Gremium. Die technische Analyse des Vorfalls dauere an.

Durch die PHP-Sicherheitslücke war am Mittwochnachmittag unter anderem die Internetseite der Chamber nicht erreichbar. „Wir haben eine Warnung bekommen und die Seite vorsorglich offline gestellt“, erklärte eine Chamber-Sprecherin auf Anfrage. Mit einem Update soll die Sicherheitslücke behoben werden. „Wir hoffen, die Seite im Laufe des Tages wieder zugänglich zu machen“, hieß es von Chamber-Seite weiter.

Gefährlicher Fehler ermöglicht vollständige Serverübernahme

Unter dem Namen „PHP2Shell“ warnen Sicherheitsexperten indes vor gleich zwei kritischen Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert wurden.

Das Gefahrenpotenzial dieser Lücken ist immens: Kriminelle Akteure können die Schwachstelle ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen (Remote Code Execution). In der Praxis ermöglicht dies Angreifern, die vollständige Kontrolle über eine Website zu übernehmen, sensible Datenbanken und Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.

Da detaillierte Informationen zur Schwachstelle unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche unter erheblichem Zeitdruck. Branchenexperten befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen werden, um ungeschützte Server im Internet im Sekundentakt aufzuspüren und zu kapern.

Höchste Alarmbereitschaft für Seitenbetreiber

Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen, die technisch auf PHP aufsetzen, gilt derzeit höchste Dringlichkeit, die eine sofortige Reaktion erfordert. IT-Experten raten dringend dazu, sich unverzüglich mit den zuständigen Systemadministratoren, IT‑Dienstleistern oder dem Webhosting-Anbieter in Verbindung zu setzen.

Verfügbare Patches und Sicherheitsupdates für die PHP-Umgebung sowie für genutzte Content-Management-Systeme müssen ohne jeden Verzug eingespielt werden. Ältere PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, stellen ein unkalkulierbares Risiko dar und sollten isoliert oder umgehend aktualisiert werden.

Sicherheitsupdate angekündigt

Die Entwickler des PHP-Projektes kündigten für Mittwochnachmittag die Veröffentlichung eines Sicherheitspatches an. Der Expertendienst Heise Security warnte die Website-Betreiber, dass funktionierende Exploits in Stunden-, spätestens Tagesfrist erscheinen würden. Wer das Risiko einer Kompromittierung nicht eingehen wolle, habe nur eine Option, nämlich die PHP-betriebenen Web-Server vom Netz zu trennen.

Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC zwar kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund.

Dennoch können Verbraucher indirekt betroffen sein – etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten. Die Entwickler der Programmiersprache sowie Hosting-Anbieter weltweit arbeiten rund um die Uhr daran, die Lücken zu schließen.