Mega-Sicherheitslücke legt Unis, Firmen und Ämter lahm

Wien. Derzeit sind in Österreich zahlreiche Webseiten und IT-Dienste präventiv vom Netz genommen worden. Betroffen sind unter anderem Hochschulen wie die Universität Wien samt "Moodle", "u:cloud", "Webmail" und "BigBlueButton", die WU Wien, die TU Wien, die BOKU Wien, die MedUni Wien sowie die Johannes Kepler Universität Linz. Auch große Unternehmen wie die Voestalpine und Novomatic, das Landesportal des Bundeslandes Burgenland, Medien wie APA-OTS und die Niederösterreichischen Nachrichten (NÖN), der Mobilitätsclub ÖAMTC, sowie in Deutschland etwa die Stadt Mainz und die Berliner Charité haben ihre Online-Angebote oder einzelnen Systeme vorübergehend deaktiviert.

Ursache ist eine extrem kritische Sicherheitslücke in der weit verbreiteten Skriptsprache PHP, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 sowie dem Namen "PHP2Shell" bekannt ist. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI), das IT-Sicherheitsunternehmen "Huntress", das PHP-Sicherheitsteam und die Sicherheitsfirma "Sansec" warnen vor den Lücken, die mit der höchsten Risikostufe 10 von 10 eingestuft werden und alle ungepatchten Versionen ab PHP 5 betreffen. "Sansec" geht davon aus, dass Angriffe bereits 15 Minuten nach Veröffentlichung starteten. Kriminelle können ohne Anmeldung aus der Ferne einen eigenen Schadcode ausführen, die vollständige Kontrolle über eine Website übernehmen und sensible Daten stehlen, oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.

Diese Webseiten & Institutionen sind in Österreich betroffen (Auswahl):

Universitäten & Hochschulen:

Große Unternehmen & Konzerne:

Öffentliche Verwaltung & Institutionen:

Medien & Nachrichtenportale:

Mobilitätsclub:

Da PHP das Fundament für rund 75 Prozent aller Webseiten bildet – darunter CMS wie WordPress mit 400 bis 500 Millionen Seiten sowie Moodle, Joomla!, Typo3 und Drupal –, wächst der Druck. Das BSI ordnet das Risiko mit der Stufe "3 / Orange" als außerordentlich hoch ein und rät im Zweifel zur Netztrennung. Die Entwickler haben Sicherheitsupdates herausgegeben, die ab Mittwochnachmittag bereitstehen.

Die Betreiber arbeiten an der Einspielung, um die Seiten schrittweise im Laufe des Abends wieder online zu bringen.

Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC zwar kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund.

Dennoch können Verbraucher indirekt betroffen sein - etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten. Die Entwickler der Programmiersprache sowie Hosting-Anbieter weltweit arbeiten rund um die Uhr daran, die Lücken zu schließen.