Viele Webseiten funktionieren nur, weil im Hintergrund eine Programmiersprache namens PHP arbeitet. In dieser Technik wurden zwei schwerwiegende Sicherheitslücken entdeckt. Die Warnung ist ernst – trotzdem bedeutet sie nicht, dass sämtliche Webseiten gehackt wurden oder Onlinebanking generell unsicher ist.

Warum der Vorfall so große Aufmerksamkeit erhält

PHP ist eine grundlegende Technik vieler Webseiten – darunter Seiten, die mit WordPress betrieben werden. Laut dem Analysedienst W3Techs nutzen 69,3 Prozent der Webseiten, deren serverseitige Programmiersprache ermittelt werden kann, PHP. Das bedeutet nicht, dass 69,3 Prozent des gesamten Internets angreifbar sind.

Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Sie erhielten jeweils einen kritischen Schweregrad von 9,2 von 10 Punkten. Unter bestimmten Bedingungen könnten Angreifer auf verwundbaren Servern Schadcode ausführen oder an vertrauliche Informationen gelangen – teilweise ohne Anmeldung.

Am 21. Oktober 2026 veröffentlichten die PHP-Entwickler Sicherheitsupdates. Die europäische Cybersicherheitsagentur ENISA, Europol und weitere Stellen forderten Organisationen zum sofortigen Handeln auf. In mehreren europäischen Ländern nahmen Behörden und andere Einrichtungen einzelne Webseiten vorsorglich vom Netz. Eine zeitweise nicht erreichbare Behördenwebseite ist daher kein Beweis für einen Hackerangriff.

Eine KI half, die jahrelang verborgenen Fehler zu entdecken

Bemerkenswert ist die Entdeckung: Das Sicherheitsunternehmen Wiz fand im August 2026 mithilfe verschiedener KI-Systeme Schwachstellen im PHP-Programmcode. Unabhängig davon identifizierte das Forschungsteam Calif mit Unterstützung eines OpenAI-Modells einen kritischen Fehler. Die Ergebnisse wurden an die PHP-Entwickler gemeldet; anschließend koordinierten Fachleute über mehrere Wochen die Korrekturen.

Teile des problematischen Programmcodes waren nach Angaben der Forscher seit mehr als zehn Jahren vorhanden. Neu ist vor allem, dass KI die aufwendige Analyse solcher Fehler und die Entwicklung möglicher Angriffsmethoden erheblich beschleunigen kann.

Was bedeutet das für Smartphone, Computer und Onlinebanking?

Die PHP-Schwachstellen befinden sich auf den Servern der Webseiten. Deshalb gibt es auf dem eigenen Handy oder Computer kein spezielles „PHP-Sicherheitsupdate“ zu installieren. Auch der bloße Besuch einer möglicherweise verwundbaren Webseite bedeutet nicht automatisch, dass das Gerät infiziert wurde.

Wird eine Webseite tatsächlich übernommen, können allerdings dort gespeicherte Daten gefährdet sein. Angreifer könnten zudem Inhalte manipulieren oder Besucher auf betrügerische Seiten umleiten. Deshalb bleiben die üblichen Schutzmaßnahmen für persönliche Konten wichtig.

Was Internetnutzer jetzt beachten sollten

Geräte und Browser aktualisieren

Verfügbare Sicherheitsupdates für Smartphone, Computer und Browser installieren. Sie schließen die Lücke auf fremden Webservern nicht, können aber vor zusätzlichen Angriffen schützen.

Wichtige Konten absichern

Für E-Mail, Onlinebanking und andere wichtige Zugänge unterschiedliche Passwörter verwenden. Wo möglich, eine zusätzliche Bestätigung beim Anmelden aktivieren – etwa über eine Authentifizierungs-App oder einen Bestätigungscode.

Gefälschte Sicherheitswarnungen erkennen

Kriminelle könnten die Berichte über PHP für betrügerische E-Mails oder SMS ausnutzen: Angeblich müsse sofort ein Update installiert, ein Passwort geändert oder eine Zahlung bestätigt werden. Nicht auf Links in unerwarteten Nachrichten klicken und keine zweifelhaften Anhänge öffnen. Bei Unsicherheit den Anbieter über eine bereits bekannte Telefonnummer, die offizielle App oder eine unabhängig ermittelte Internetadresse kontaktieren.

Meldungen über Datenpannen überprüfen

Auch eine Nachricht, die scheinbar von einer Bank oder einem Onlineshop stammt, kann gefälscht sein. Zuerst unabhängig prüfen, ob der Anbieter tatsächlich einen Vorfall gemeldet hat. Sind eigene Daten betroffen, den offiziellen Anweisungen folgen: gegebenenfalls das Passwort über die bekannte Webseite oder App ändern und bei Zahlungsdaten die Umsätze kontrollieren.

Kein Anlass für überstürzte Maßnahmen: Wegen dieser Meldung allein müssen nicht sämtliche Passwörter geändert werden. Auch auf Onlinebanking oder Einkäufe im Internet muss nicht grundsätzlich verzichtet werden.

Klartext-Fazit

Die Sicherheitslücken sind gravierend, weil PHP in einem großen Teil des Internets eingesetzt wird. Wie groß die tatsächliche Zahl angreifbarer Webseiten ist, lässt sich aus dieser Verbreitung aber nicht ableiten. Für die technischen Aktualisierungen sind Webseitenbetreiber und ihre Dienstleister verantwortlich. Für Besucher bleibt entscheidend, nicht auf ungeprüfte Sicherheitswarnungen zu reagieren und die eigenen Zugänge gut zu schützen.

Quellen und weiterführende Informationen

  • PHP Security Team – offizielle Sicherheitswarnung und korrigierte Versionen (21.10.2026)
  • ENISA / EU-Stellen – gemeinsame Warnung für Organisationen (21.10.2026)
  • Wiz Research – technische Entdeckung, Rolle der KI und Zeitablauf (21.10.2026)
  • OpenAI – koordinierte Untersuchung und Unterstützung bei der Behebung (21.10.2026)
  • W3Techs – Statistik zur Verwendung von PHP (Abruf: 22.10.2026)
  • Reuters – vorsorgliche Abschaltungen öffentlicher Webseiten in Europa (21.10.2026)
  • BSI – deutschsprachige Hinweise zur sicheren Internetnutzung

Dieser Beitrag informiert allgemein über den veröffentlichten Stand vom 22. Oktober 2026. Er ersetzt keine individuelle technische Sicherheitsprüfung.