In mindestens sechs europäischen Ländern wurden Websites von Regierungen, Krankenhäusern, Schulen und kritischen Infrastrukturen vorsorglich vom Netz genommen. Grund dafür sind zwei kritische Sicherheitslücken in der Programmiersprache PHP.
Was ist passiert?
In PHP wurden zwei gravierende Sicherheitslücken entdeckt, die mit einem CVSS-Score von 9.2/10 als extrem kritisch eingestuft werden. Sie ermöglichen es Angreifern, ohne vorherige Authentifizierung schädlichen Code aus der Ferne auf Servern auszuführen (Remote Code Execution).
- Entdeckung durch KI: Die Schwachstellen wurden mithilfe von KI-gestützten Tools (u. a. von Wiz und OpenAI) aufgedeckt und existierten Berichten zufolge seit mehr als zehn Jahren im Code.
- Sicherheits-Patches: Entsprechende Sicherheitsupdates wurden am 21. Oktober 2026 veröffentlicht.
- Vorsichtsmaßnahme: Behörden und Einrichtungen, die den Patch nicht sofort einspielen konnten, schalteten ihre Systeme vorübergehend offline. Bisher gibt es keine Bestätigung für einen koordinierten Cyberangriff oder staatlich gelenkte Aktivitäten; die Abschaltungen erfolgten größtenteils präventiv.
Betroffene Länder und Institutionen
- Dänemark: Das Meteorologische Institut (DMI), die Kommune Kopenhagen, das Straßenamt sowie die nationale Schulplattform Aula.
- Deutschland: Die Bundespolizei, das Bundesinnenministerium, das Robert Koch-Institut (RKI), Zollbehörden, die Charité – Universitätsmedizin Berlin sowie die Universität Potsdam.
- Niederlande: Der Hafen von Rotterdam, das Nationale Zentrum für Cybersicherheit (NCSC), Regierungsportale, Justizdienste, Websites politischer Parteien und mehrere Krankenhäuser.
- Belgien: Websites der flämischen Regierung, die Bildungsplattform Smartschool und das Krankenhaus AZ Monica in Antwerpen.
- Finnland: Staatliche ITK-Dienste und das nationale Vermessungsamt.
- Frankreich: Websites verschiedener lokaler Präfekturen wurden vorsorglich abgeschaltet.
Internationale Reaktionen und Expertenwarnungen
Das britische National Cyber Security Centre (NCSC) gab eine Dringlichkeitswarnung heraus. Aus den USA wurde bekannt, dass das Weiße Haus bereits seit dem 16. Oktober über die Schwachstellen informiert war und Bundesbehörden ihre Systeme umgehend überprüften.
Experten weisen darauf hin, dass PHP rund 70 Prozent des gesamten Internets betreibt, und rufen alle Betreiber von Webservern dazu auf, die bereitgestellten Sicherheits-Patches unverzüglich zu installieren.
Quelle: Reuters, BBC und europäische Cybersicherheitsbehörden (21. Oktober 2026).