// TAGESSCHAU WIRTSCHAFT — FINANZA
PHP-Sicherheitslücke: IT-Experten fordern Maßnahmen über Updates hinaus
Nach Aufdeckung der Sicherheitslücke in der Programmiersprache PHP sind viele Webseiten nach einem Update wieder verfügbar. Doch IT-Experten raten zu weiteren Maßnahmen: Betreiber von Webseiten müssten ihre Systeme genau prüfen.
Nach der Bekanntgabe der kritischen PHP-Sicherheitslücke fordern Experten Maßnahmen, die über das bloße Einspielen von Software-Updates hinausgehen. Thomas Boele, Sicherheitsexperte beim Softwareunternehmen Check Point, warnte Systembetreiber davor, sich in falscher Sicherheit zu wiegen. Er forderte diese eindringlich auf, über die reine Patch-Installation hinaus aktiv zu werden.
Zu den notwendigen Sofortmaßnahmen gehöre eine rückwirkende Prüfung der Logdaten bis zum 17. Oktober 2026, um mögliche Kompromittierungen zu erkennen, sagte Boele der Nachrichtenagentur dpa. Der Grund: An diesem Tag wurden auf einem sogenannten Honeypot von Amazon - einer digitalen Falle, die Angreifer anlocken soll - erste Angriffsversuche registriert. Wer seine Daten nicht bis zu diesem Datum prüfe, übersehe möglicherweise, ob sein System bereits vor dem Update heimlich infiltriert wurde.
Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät Betreibern, sie sollten - zusätzlich zu den Updates - "PHP-Webserver verstärkt auf Auffälligkeiten" beobachten. Zunächst waren zahlreiche Webseiten weltweit vorsorglich vom Netz genommen worden - nach den Updates wurden viele inzwischen wieder freigeschaltet.
Experten warnten jedoch zudem, dass Unternehmen oft nicht wüssten, wo PHP bei ihnen zum Einsatz komme. Ein weiteres Problem sei, dass Millionen von Webseiten veraltete PHP-Versionen nutzten, für die es kein Sicherheitsupdate gibt.
Zahlreiche Webseiten und Onlinedienste weltweit sind derzeit durch eine Sicherheitslücke akut in Gefahr.
mehr
Die Schwachstellen in der PHP-Technik waren am Dienstag öffentlich bekannt geworden und hatten zu hektischen Aktivitäten bei Betreibern von Webseiten weltweit geführt. Die Entwickler des PHP-Projektes veröffentlichten am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache, in denen die Sicherheitslücken geschlossen wurden.
Markus Richter, Staatssekretär im Bundesministerium für Digitales und Staatsmodernisierung, betonte die Wichtigkeit schnellen Handelns: "Das Entscheidende ist, dass man schnell reagiert", sagte er im ARD-Morgenmagazin. "Dadurch, dass Systeme so weltweit vernetzt sind, kann es auch jeden Einzelnen betreffen", sagte Richter. Im Digitalministerium stufe man den Vorfall als kritisch ein, da die Programmiersprache weit verbreitet sei. Derzeit liefen Untersuchungen, ob und, wenn ja, wo es zu Datenabflüssen gekommen sei.
Künstliche Intelligenz (KI) sei hier Fluch und Segen, so Richter. Sie könne in solchen Fällen ein großes Hilfsmittel sein. Die Sicherheitslücke wurde durch den Einsatz von KI entdeckt. Gleichzeitig helfe KI auch Hackern. Deutschland sei gut aufgestellt, um Risiken durch KI zu begegnen, "gleichzeitig stellen wir natürlich fest, dass wir nicht auf einer Insel sitzen, sondern es braucht internationale Strukturen", sagte Richter.
Interview
22.10.2026