Kritische PHP-Sicherheitslücken: Behörden, Kliniken und Universitäten schalten Webseiten ab

Die Internetseiten mehrerer deutscher Krankenhäuser, Universitäten und Behörden waren am Mittwoch zeitweise nicht erreichbar. Betroffen waren unter anderem die Berliner Charité und das Harzklinikum Dorothea Christiane Erxleben in Sachsen-Anhalt. Auch verschiedene Universitätskliniken und bayerische Ministerien nahmen ihre Webauftritte vorsorglich vom Netz. Anlass sind zwei kritische Sicherheitslücken in PHP, für die inzwischen Updates veröffentlicht wurden. Hinweise auf einen Zusammenhang mit einem konkreten Cyberangriff gibt es bei den genannten Abschaltungen bislang nicht.

Harzklinikum nimmt Webseite vorsorglich offline

Das Harzklinikum bestätigte die Abschaltung am Mittwoch in einer kurzen Pressemitteilung. Kommunikationsleiter Dr. Konstantin Korosides-Kreissig verwies auf die weltweite Sicherheitswarnung zu PHP. „Sobald wir die Lage überblicken gehen wir wieder online“, teilte er mit. Mehr ist zur technischen Situation des Klinikums bislang nicht bekannt. Insbesondere wurde nicht mitgeteilt, ob die eigenen Server tatsächlich eine der verwundbaren PHP-Versionen einsetzen. Auch von einem Angriff oder Einschränkungen bei der Patientenversorgung ist in der Mitteilung keine Rede. Bei der Berliner Charité waren neben der Hauptwebseite zeitweise weitere Internetangebote und die Online-Terminbuchung betroffen. Die Einrichtung erklärte ausdrücklich, dass kein Cyberangriff stattgefunden habe. Der Klinikbetrieb laufe normal weiter. Ähnliche Maßnahmen wurden von den Universitätskliniken Freiburg, Heidelberg und Mannheim bekannt. In Freiburg war auch der Internetauftritt der Patienten-App „Meine Uniklinik“ betroffen.

Universität Freiburg nimmt ILIAS und Webmail vom Netz

An der Universität Freiburg beschränkte man sich nicht auf die öffentliche Webseite. Das Rechenzentrum schaltete auch das Intranet, mehrere WordPress-Angebote, die Lernplattform ILIAS und den studentischen Webmail-Zugang ab. Für Administratoren weiterer PHP-Systeme gab es die Aufforderung, ihre Installationen zu überprüfen. Wo sich eine Gefährdung nicht ausschließen ließ, sollten die entsprechenden Dienste vorerst nicht mehr öffentlich erreichbar sein. In Bayern waren unterdessen mehrere Internetseiten von Ministerien und der Polizei offline. Das bayerische Innenministerium verwies auf Warnungen des BSI und des Landesamtes für Sicherheit in der Informationstechnik (LSI). Daraufhin wurden mehrere Behördenwebseiten vorsorglich abgeschaltet. Dass die Systeme tatsächlich angegriffen oder kompromittiert wurden, ist bislang nicht bekannt.

Zwei PHP-Sicherheitslücken mit hohem Risiko

Hinter der Warnung stecken die Schwachstellen CVE-2026-109618 und CVE-2026-109619. Beide betreffen die Speicherverwaltung von PHP und werden nach CVSS 4.0 mit jeweils 9,2 von 10 möglichen Punkten eingestuft. Bei CVE-2026-109618 geht es um eine fehlerhafte Behandlung von Speichermangel. Dabei können interne Datenstrukturen beschädigt werden. CVE-2026-109619 betrifft einen sogenannten Use-after-free-Fehler: PHP kann unter bestimmten Umständen noch auf einen Speicherbereich zugreifen, obwohl dieser bereits freigegeben wurde. Angreifer können solche Fehler unter geeigneten Bedingungen ausnutzen, um eigenen Code im PHP-Prozess auszuführen.

Abhängig von der Serverkonfiguration kann das auch ohne vorherige Anmeldung möglich sein. Besonders unangenehm für Webseitenbetreiber: Die Schwachstellen stecken in PHP selbst. Ein aktuelles WordPress mit sämtlichen Plugin-Updates reicht deshalb nicht aus, wenn auf dem Server weiterhin eine verwundbare PHP-Laufzeitumgebung läuft. Betroffen sind verschiedene PHP-Betriebsarten, darunter PHP-FPM, php-cgi, Apache mit mod_php, FrankenPHP und LiteSpeed. Bei Apache mit mod_php wurde bereits gezeigt, dass sich der Fehler durch eine entsprechend präparierte HTTP-Anfrage auslösen lässt, noch bevor die eigentliche Webanwendung ihren Code verarbeitet. Damit kann eine Anwendung verwundbar sein, ohne selbst einen Programmierfehler zu enthalten.

PHP 8.2 bis 8.5 erhalten Sicherheitsupdates

Das PHP-Entwicklerteam hat am Mittwoch außerplanmäßig vier korrigierte Versionen bereitgestellt: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Die Updates schließen beide Sicherheitslücken. Betreiber selbst verwalteter Server sollten deshalb kontrollieren, ob die entsprechenden Pakete bereits über ihre Distribution verfügbar sind und die aktualisierten PHP-Dienste anschließend tatsächlich verwendet werden. Für PHP 7.4, 8.0 und 8.1 gibt es dagegen keine regulären Sicherheitsupdates mehr. Das PHP-Projekt hat für diese älteren Versionszweige lediglich minimale Quellcode-Patches veröffentlicht. Ob daraus installierbare Updates werden, hängt vom jeweiligen Distributor oder Supportanbieter ab. Bei Linux-Servern ist außerdem zu beachten, dass Sicherheitskorrekturen häufig in ältere Paketversionen zurückportiert werden. Allein die Versionsnummer verrät deshalb nicht zuverlässig, ob eine Installation noch verwundbar ist.

Was bedeutet das für WordPress und andere Webseiten?

Wer seine Webseite über einen klassischen Webhosting-Tarif betreibt, muss sich normalerweise nicht selbst um die Aktualisierung des PHP-Interpreters kümmern. Das übernimmt der Hoster. netcup hatte bereits vor der Veröffentlichung der korrigierten Versionen angekündigt, die Updates automatisch auf seinen Webhosting-Systemen einzuspielen. Für ältere PHP-Versionen sollen ebenfalls eigene Patches bereitgestellt werden. Anders ist die Situation bei Root-Servern, selbst verwalteten virtuellen Maschinen und eigenen PHP-Installationen. Hier muss der jeweilige Administrator die Korrekturen selbst einspielen oder prüfen, ob der eingesetzte Paketbetreuer sie bereits bereitgestellt hat. Vorübergehende Anpassungen an der Serverkonfiguration können einzelne Angriffswege erschweren. Dauerhaft beheben lassen sich die beiden Fehler damit jedoch nicht. Wann die betroffenen Kliniken, Hochschulen und Behörden ihre Internetangebote wieder vollständig freischalten, ist noch offen. Das Harzklinikum hat bislang keinen Termin genannt.