PHP-Sicherheitslücke: Was ihr beim Surfen jetzt wissen solltet

---

Zahlreiche Webseiten wurden vorsorglich abgeschaltet: Zwei gefährliche Sicherheitslücken in der Internet-Technik PHP beschäftigen gerade Behörden, Unternehmen und Webseitenbetreiber. Auch wir haben reagiert und unser Magazin bereits kurz nach Erscheinen des Sicherheitsupdates auf die korrigierte Version umgestellt. Damit sind diese beiden Lücken bei uns geschlossen. Was aber bedeutet die Warnung für euch, wenn ihr im Internet unterwegs seid?

Was ist da eigentlich passiert?

Die Fehler stecken in einer Technik, die im Hintergrund vieler Webseiten arbeitet. PHP hilft beispielsweise dabei, Seiteninhalte zusammenzustellen oder Formulare zu verarbeiten.

Das passiert auf sogenannten Servern. Gemeint sind die Rechner, auf denen Webseiten betrieben werden. Die entdeckten Lücken können Angreifern ermöglichen, dort eigene schädliche Programme auszuführen – ohne sich vorher mit einem Benutzerkonto anmelden zu müssen. Das kann bis zur Übernahme des betroffenen Systems führen.

Am 21. Oktober 2026 hat das PHP-Team Sicherheitsupdates veröffentlicht. Für Betreiber ist deren Installation dringend. Ihr selbst müsst als Besucherinnen einer Webseite kein PHP-Update auf eurem Handy oder Computer installieren.

Warum so viele Webseiten offline gingen

Viele Betreiber haben ihre Angebote vorsorglich vom Netz genommen, um Angriffe zu verhindern, bis die Sicherheitsupdates eingespielt sind.

Betroffen waren auch Dienste, die im Alltag gebraucht werden. Gelsenkirchen schaltete beispielsweise gefährdete Angebote wie das Serviceportal ab; die städtische Hauptseite blieb erreichbar. Offenbach nahm unter anderem sein Bewerbungssystem und weitere Anwendungen vom Netz. Dort waren die abgeschalteten Systeme nach Angaben der Stadt bereits am Abend des 21. Oktober wieder nutzbar.

Für euch kann das bedeuten, dass ein Online-Antrag oder eine Bewerbung vorübergehend nicht funktioniert. Ist etwas dringend oder läuft eine Frist ab, fragt über eine bekannte Telefonnummer nach einer anderen Möglichkeit.

Eine vorsorgliche Abschaltung bedeutet nicht automatisch, dass eine Webseite gehackt wurde oder persönliche Daten gestohlen wurden. Sie kann gerade dazu dienen, das zu verhindern.

Was kann Besucherinnen passieren?

Gelingt ein Angriff auf eine Webseite, können auch Menschen betroffen sein, die sie nutzen. Welche Folgen möglich sind, hängt vom jeweiligen Angebot und dem Zugriff der Angreifer ab.

Aus einem solchen Zugriff können zum Beispiel diese Risiken entstehen:

• Gespeicherte Daten geraten in falsche Hände. Das können etwa Kontaktdaten oder Informationen aus einem Kundenkonto sein – auch wenn ihr die Seite gerade gar nicht besucht.
• Eine vertraute Seite wird manipuliert. Kriminelle könnten etwa Eingabefelder verändern, um Zugangsdaten abzufangen.
• Besucherinnen werden getäuscht. Denkbar sind Weiterleitungen auf betrügerische Seiten oder Aufforderungen, schädliche Dateien herunterzuladen.

Das sind mögliche Folgen einer übernommenen Webseite, keine Feststellung, dass dies bei allen betroffenen Angeboten passiert ist. Es geht aber auch nicht nur um eine theoretische Gefahr: Amazons Sicherheitsteam berichtet von beobachteten Angriffsversuchen, die bis zum 17. Oktober zurückreichen. Wie viele Angriffe tatsächlich erfolgreich waren, lässt sich daraus nicht ablesen.

Darauf solltet ihr jetzt achten

Ihr könnt eine fremde Webseite nicht selbst reparieren. Ihr könnt aber einige typische Gefahren vermeiden und eure eigenen Geräte gut absichern.

1. Updates über die Einstellungen installieren. Haltet Handy, Computer und euren Browser aktuell. Der Browser ist das Programm, mit dem ihr Webseiten öffnet, etwa Chrome, Safari, Firefox oder Edge. Nutzt die eingebauten Einstellungen oder den offiziellen App-Store. Diese Updates schließen nicht die PHP-Lücke einer fremden Webseite, schützen eure Geräte aber vor anderen bekannten Schwachstellen.
2. Keine angeblichen Reparaturprogramme laden. Fordert euch eine Webseite auf, wegen der PHP-Lücke ein „Sicherheitsprogramm“ zu installieren, schließt sie. Die Reparatur ist Aufgabe des Webseitenbetreibers.
3. Bei ungewöhnlichen Aufforderungen stoppen. Eine bekannte Seite verlangt plötzlich zusätzliche Bankdaten oder leitet euch auf eine fremde Adresse weiter? Gebt nichts ein und fragt beim Anbieter über einen unabhängig herausgesuchten Kontakt nach. Beachtet auch Sicherheitswarnungen eures Browsers.
4. Warnmails in Ruhe prüfen. Öffnet ein betroffenes Kundenkonto über eure bekannte App oder ein gespeichertes Lesezeichen. Folgt nicht unüberlegt einem Link in einer Nachricht, die euch mit einer sofortigen Kontosperre unter Druck setzt. Wie solche Täuschungen aussehen können, zeigt auch unser Beitrag zur gefälschten AOK-Mail.
5. Konten zusätzlich absichern. Verwendet für jedes Konto ein eigenes Passwort. Aktiviert, wenn angeboten, einen zweiten Schutz bei der Anmeldung – etwa eine zusätzliche Bestätigung auf eurem Handy. Das erschwert den Missbrauch gestohlener Passwörter. Es verhindert allerdings keinen Datendiebstahl direkt beim Anbieter.

Ob eine Webseite das PHP-Update installiert hat, könnt ihr ihr normalerweise nicht ansehen. Auch „https“ in der Adresse oder ein Schloss-Symbol bescheinigen das nicht. Sie stehen für eine verschlüsselte Verbindung, nicht für eine vollständig abgesicherte Webseite.

Ihr habt eine betroffene Seite schon besucht?

Ein Besuch allein beweist weder, dass euer Gerät infiziert wurde, noch dass eure Zugangsdaten gestohlen wurden. Alle Passwörter vorsorglich zu ändern, ist deshalb ohne weiteren Hinweis nicht nötig.

Handelt aber zügig, wenn ihr auf einer verdächtigen Seite ein Passwort eingegeben habt oder ein Anbieter euch über betroffene Zugangsdaten informiert. Ändert das betreffende Passwort über die echte Webseite oder App. Habt ihr dasselbe Passwort anderswo verwendet, ersetzt es auch dort. Wurden Bank- oder Kartendaten abgefragt und weitergegeben, kontaktiert sofort eure Bank. Bei verdächtigen Anmeldungen oder unbekannten Abbuchungen solltet ihr ebenfalls reagieren.

Habt ihr ein zweifelhaftes Programm installiert, gebt auf diesem Gerät vorerst keine weiteren Passwörter oder Zahlungsdaten ein und holt euch Hilfe bei der Überprüfung. Nutzt für dringende Kontoänderungen ein anderes, vertrauenswürdiges Gerät.

Auch in den kommenden Tagen lohnt es sich, Mitteilungen der genutzten Anbieter zu beachten. Einen festen Tag, ab dem überall Entwarnung gilt, gibt es nicht: Die Lücken müssen auf jedem betroffenen System geschlossen werden. Wurde ein System bereits angegriffen, muss der Betreiber außerdem mögliche Spuren und Schäden prüfen und beseitigen.

Stand: 22. Oktober 2026

---

Wir hoffen sehr, dass dir unser Artikel gefallen hat. Vielleicht hat er dir geholfen, eine Frage zu beantworten. Oder er hat dich nachdenklich, traurig oder fröhlich gestimmt. Wir freuen uns jederzeit über deine Rückmeldung oder Anregung per Kommentar, Email oder Social-Media. Gerne kannst du uns auf Facebook, Pinterest oder Flipboard folgen. Wir freuen uns auch dich! 🤗