Am 21. Oktober 2026 ist der absolute Super-GAU für das Internet eingetreten: In der extrem beliebten Web-Programmiersprache PHP klafft ein riesiges Sicherheitsloch.
Uni Wien reagierte mustergültig
Experten geben den Lücken (CVE-2026-109618 und CVE-2026-109619) die extreme Risikostufe 10 von 10.
Angreifer können über die Lücken Schadcode einschleusen, die vollständige Kontrolle über betroffene Webserver übernehmen und dann auch noch sensible Kundendaten stehlen. Betroffen sind potenziell alle PHP-Versionen ab Version 5 aufwärts, sofern sie nicht gepatcht sind.
Die Sicherheitsfirma "sansec" geht sogar davon aus, dass die ersten Massenangriffe schon 15 Minuten nach der Veröffentlichung der Sicherheitslücken losgegangen sind!
Cyber-Kriminelle können sich damit von außen komplett in fremde Server hacken, Daten stehlen und die Kontrolle übernehmen.
Auch interessant
"Präventive Abschaltung zentraler IT-Services" titelten zahlreiche Webservices der Universität Wien am heutigen Tag, Studierende waren geschockt. Die Sicherheitslücke war laut Bericht der "Kronen Zeitung" den Universitäten bekannt und heute wurde präventiv gehandelt.
Doch die Services der Uni Wien waren bei Weitem nicht die einzigen heute. Die Homepage der TU Wien ist nicht zu erreichen und auch die des ÖATMC ist auf Tauchstation. Auch die Niederösterreichischen Nachrichten (NÖN) sowie die Caritas sind nicht mehr im Netz, ein weiteres Beispiel ist die Website der Stadt Mainz in Deutschland.
DAS kannst du jetzt tun
Da PHP das absolute Fundament für rund 75 Prozent aller weltweiten Webseiten ist, betrifft dieser Mega-Schock fast jeden, der eine eigene Präsenz im Netz betreibt.
Die PHP-Macher warfen am 21.10.2026 ab 16:00 Uhr (deutscher Zeit) Notfall-Sicherheitsupdates auf den Markt. Wer das Update nicht sofort installieren kann, sollte betroffene Seiten und Server sofort vom Netz nehmen, bevor die Hacker zuschlagen.
"Herausragendes Bedrohungspotenzial"
Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Lage gegenüber der APA als "kritisch" ein. Das Risiko wird mit der Warnstufe 3 /Orange wiedergegeben. Das bedeutet, dass sofort Gegenmaßnahmen ergriffen werden müssen. In der Mitteilung wird weißt das BSI daraufhin, dass von den Schwachstellen ein "herausragendes Bedrohungspotenzial" ausgeht.