Polizei und Staatskanzlei seit Mittwochabend wieder online
Nach der Warnung hatten in Bayern unter anderem Ministerien, Kommunen, Landratsämter und die Polizei ihre Webseiten vorübergehend abgeschaltet. Auch Krankenhäuser und Unternehmen waren betroffen. Inzwischen ist der Großteil der Angebote laut dpa wieder erreichbar.
Für die bayerische Polizei war die Rückkehr ins Netz bereits am Abend des 21. Oktober 2026 abgeschlossen: Nach Installation des Updates waren sämtliche Polizeibehörden einschließlich des Landeskriminalamts wieder online, berichtet BR24. Auch die Staatskanzlei war zu diesem Zeitpunkt wieder erreichbar. Eine Sprecherin kündigte an, die einzelnen Ministerien wollten so schnell wie möglich folgen.
Wie breit die Ausfälle waren, zeigen die von BR24 und tz.de genannten Beispiele: Zeitweise fehlte der Zugang zu den Internetangeboten der Stadtverwaltungen München und Augsburg, des Landratsamts Rhön-Grabfeld, des Uniklinikums Augsburg und des Klinikums Nürnberg. Die Homepage der TU München und das Ticketbuchungssystem des Münchner Verkehrs- und Tarifverbunds (MVV) waren ebenfalls nicht erreichbar. Gerichte und Staatsanwaltschaften nahmen ihre Webseiten vorsorglich vom Netz.
Zwei kritische Schwachstellen in weit verbreiteter Software
Die Warnung betrifft zwei PHP-Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide erreichen im Bewertungssystem CVSS 4.0 jeweils 9,2 von 10 Punkten und gelten damit als kritisch. Dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zufolge könnten Angreifer darüber Schadcode aus der Ferne auf Webservern ausführen. Eine Anmeldung oder eine Handlung eines Nutzers wäre dafür nicht nötig.
PHP wird für sehr unterschiedliche Internetangebote eingesetzt: für Blogs ebenso wie für große Nachrichtenportale, Onlineshops und Content-Management-Systeme wie WordPress. Nach Schätzungen, über die The Record berichtet, verwenden mehr als 70 Prozent aller Websites PHP. Entsprechend groß ist die Zahl der potenziell betroffenen Angebote.
In der Berichterstattung und beim BSI werden die beiden Lücken als "PHP2Shell" bezeichnet, angelehnt an die frühere Schwachstelle Log4Shell. Das BSI ordnete das Risiko der Warnstufe "3 / Orange" zu und bewertete es als außerordentlich hoch; es sprach von einem herausragenden Bedrohungspotenzial. Auch das bayerische Landesamt für Sicherheit in der Informationstechnik (LSI) stufte die Schwachstelle als kritisch ein.
Korrigierte PHP-Versionen stehen bereit
Am 21. Oktober 2026 veröffentlichte das PHP-Entwicklerteam außerhalb des regulären Zeitplans Updates für vier Versionszweige. Die Ausgaben PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 beheben beide Sicherheitslücken, berichtet Deskmodder.de. Für PHP 8.1 und ältere, nicht mehr unterstützte Zweige werden dagegen keine regulären Sicherheitsupdates mehr angeboten.
Entdeckt wurden die Lücken nach Angaben von OpenAI rund zwei Monate vor ihrer Veröffentlichung. Forscher der Cybersicherheitsfirma Calif hätten dazu OpenAI-Werkzeuge im Programm "Patch the Planet" eingesetzt. OpenAI erklärte zudem, die Korrekturen seien gemeinsam mit PHP und weiteren Unternehmen getestet worden; die Reaktion habe man mit Infrastrukturanbietern abgestimmt.
Warnungen und Abschaltungen auch außerhalb Deutschlands
Neben Deutschland veröffentlichten auch die Europäische Union, die USA, Japan, Australien, das Vereinigte Königreich und die Niederlande Warnungen. International schalteten Anbieter ihre Dienste vorsorglich ab, darunter große Unternehmen und Organisationen wie Nintendo.
Laut dpa sind im Zusammenhang mit der Sicherheitslücke bislang keine Hackerangriffe bekanntgeworden. Über erste Angriffsversuche berichteten allerdings Sicherheitsunternehmen: Cloudflare-Technikchef Dane Knecht erklärte am 21. Oktober 2026, man sehe Angriffe aufkommen. Auch watchTowr meldete beobachtete Ausnutzungsversuche, die nach eigenen Angaben bislang jedoch erfolglos geblieben seien.
