PHP-Sicherheitslücken: Wir schalten kurz ab

Der 21. Oktober 2026 wird wohl in die Geschichte des Internets eingehen. Webdeveloper und Administrator:innen sind weltweit in höchster Alarmbereitschaft, weil zwei Sicherheitslücken in PHP entdeckt wurden.

PHP steht für „PHP Hypertext Preprocessor“ (ursprünglich Personal Home Page Tools). Es handelt sich dabei um eine weit verbreitete, serverseitige Skriptsprache, die vor allem dazu dient, dynamische Webseiten und Webanwendungen zu programmieren. Wir sind auf Empfehlung unseres Webadministrators darauf vorbereitet, den Dolomitenstadt-Server vorsorglich abzuschalten, falls es nötig wird, Website und Daten zu schützen.

PHP ist eine technische Grundlage von Abermillionen Websites. Die jetzt bekannt gewordenen Schwachstellen könnten es Angreifern ermöglichen, eigene Befehle auf betroffenen Servern auszuführen. Die möglichen Folgen sind schwerwiegend: Gelingt ein solcher Angriff, könnten Unbefugte Inhalte manipulieren oder auf Daten zugreifen. Beide Schwachstellen wurden mit 9,2 von zehn Punkten als kritisch eingestuft. Welche PHP-Versionen und Konfigurationen tatsächlich betroffen sind, war am Mittwochvormittag noch nicht offiziell bestätigt.

Die PHP-Entwickler haben Sicherheitsupdates für heute, Mittwoch, um 16.00 Uhr angekündigt. Laut dem IT-Sicherheitsunternehmen Qualys sollen mit der Veröffentlichung auch die betroffenen und korrigierten Versionen bekannt gegeben werden. Erst dann lässt sich verlässlich beurteilen, welche Aktualisierung erforderlich ist.

Wurden Websites gehackt?

Aus den allgemeinen Warnungen lassen sich – noch – keine Angriffe auf Server ableiten. Wichtig ist die Unterscheidung zwischen einer Sicherheitslücke und einem tatsächlich erfolgten Hack: Sicherheitsfirmen melden aktuell keine beobachtete Ausnutzung dieser Schwachstellen in den von ihnen überwachten Kundenumgebungen. Das ist jedoch keine allgemeine Entwarnung. Einzelne Unternehmen und Institutionen – darunter die Universität Wien und die TU Wien – haben ihre Server bereits abgeschaltet, um einem möglichen Angriff zuvorzukommen.

Wie geht es weiter? Wir schalten kurz ab!

Wir hoffen, dass sich die Lage am späten Nachmittag entspannt und die Lücke wie angekündigt geschlossen wird. Es besteht zwar kein Grund zur Panik, doch die Verletzlichkeit des Internets wird uns allen dramatisch vor Augen geführt. Die Sicherheitslücke in der PHP-Architektur besteht offenbar schon seit Jahren, doch niemand hat sie entdeckt. Gefunden wurde sie nach aktuell verfügbaren Informationen von einem research lab mittels KI-Einsatz.

Die PHP Group fordert Administratoren weltweit auf, sich auf die Aktualisierung vorzubereiten, um die kommenden Updates dann so schnell wie möglich einzuspielen. Der Dolomitenstadt-Administrator hat diese Vorbereitungen bereits getroffen. Fatal ist, dass sofort nach der Veröffentlichung der Aktualisierung leider auch bekannt wird, um welche Lücken es sich genau handelt. Deshalb könnte es binnen Minuten zu Massenangriffen auf Millionen Server kommen.

Was bei der Implementierung des Updates genau passiert ist damit generell sehr unklar. Das CERT-EU (Computer Emergency Response Team for the European Union) rät vorbeugend zu einer drastischen Maßnahme: Die Server vom öffentlichen Internet abzutrennen. Diesem Rat werden wir für hoffentlich nur sehr kurze Zeit folgen.

Beim Einspielen des Updates werden wir den Server etwa 20 Minuten vom Netz nehmen und nutzen die Gelegenheit auch gleich für ein weiteres, größeres Update. Das sollte ca. um 16.00 Uhr der Fall sein. Wir hoffen, dass alles reibungslos über die Bühne geht. Als User bzw. Userin wird man von der ganzen Aktion nicht viel bemerken.

Dolomitenstadt.at wird über unsere Cloudserver weiter sichtbar sein. Man kann weiterhin alle Artikel lesen, alle Bilder und auch weiterführende Links anklicken. Was dann nicht möglich sein wird, ist sich einzuloggen! User:innen könnten dann einige Zeit nicht kommentieren, keine Kleinanzeigen schalten und ihre persönlichen Profile nicht aufrufen.

Aktualisierung am 21. Oktober 17.30 Uhr: Mittlerweile ist die PHP-Lücke „gepatched“, unser Programmierer gab grünes Licht und die Dolomitenstadt-Website läuft voll funktionsfähig auf dem neuesten, heute ausgelieferten Sicherheitsstandard.