Gravierende Sicherheitslücke bedroht weltweit Millionen von Websites – was das für Betreiber und normale Internetnutzer bedeutet

Betroffen ist die weit verbreitete Programmiersprache PHP. Die Cybersicherheitsbehörden vieler Staaten warnen die Betreiber von Internetseiten – auch in der Schweiz.

21.10.2026, 17.40 Uhr

2 Leseminuten

(dpa)/ehj.Wegen einer schwerwiegenden Sicherheitslücke sind am Mittwoch (21. 10.) weltweit zahlreiche Websites vorsorglich abgeschaltet worden. Betroffen ist die weit verbreitete Programmiersprache PHP. Ein Grossteil der Internetseiten basiert auf dieser Programmiersprache – von einfachen Blogs über grossen Nachrichtenportale hin zu komlexen Systemen wie Wordpress, das zur Verwaltung von Website-Inhalten dient. Laut Fachleuten werden weltweit zwischen 400 und 500 Millionen Websites allein mit Wordpress betrieben.

Optimieren Sie Ihre Browsereinstellungen

NZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.

Bitte passen Sie die Einstellungen an.

Regierungsbehörden in den Niederlanden, Finnland und Deutschland haben weitreichende Massnahmen ergriffen und ihre Internetseiten vorübergehend ausgeschaltet. Auch Universitäten, Krankenhäuser und Unternehmen nahmen ihre Websites teils vorübergehend vom Netz.

Sofortige Sicherheitsupdates gefordert

Zahlreiche Behörden weltweit, darunter auch das Bundesamt für Cybersicherheit in der Schweiz, haben eine offizielle Cybersicherheitswarnung für Betreiber von Websites, Onlineshops und digitalen Unternehmensplattformen, die technisch auf PHP setzen, herausgegeben.

Die Behörden betonen, dass unverzüglich Gegenmassnahmen ergriffen werden müssen. Verfügbare Patches und Sicherheitsupdates für die PHP-Umgebung sowie für genutzte Content-Management-Systeme müssten sofort eingespielt werden. Ältere PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, stellten ein unkalkulierbares Risiko dar und sollten isoliert oder umgehend aktualisiert werden.

Zuvor hatten die Entwickler von PHP am Dienstag (20. 10.) zwei kritische Schwachstellen bekanntgegeben. Diese könnten es Hackern ermöglichen, aus der Ferne Schadsoftware auf betroffenen Servern auszuführen und die Kontrolle über Websites zu übernehmen, hiess es. Laut dem Cybersicherheitsunternehmen Cloudflare waren bereits erste Angriffsversuche beobachtet worden.

Da detaillierte Informationen zur Schwachstelle unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche unter erheblichem Zeitdruck. Branchenexperten befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen werden, um ungeschützte Server im Internet im Sekundentakt aufzuspüren und zu kapern.

Keine Gefahr für normale Internetnutzer

Da detaillierte Informationen zur Schwachstelle unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche unter erheblichem Zeitdruck. Branchenexperten befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen werden, um ungeschützte Server im Internet im Sekundentakt aufzuspüren und zu kapern.

Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC zwar kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund.

Dennoch können Verbraucher indirekt betroffen sein - etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten. Die Entwickler der Programmiersprache sowie Hosting-Anbieter weltweit arbeiten rund um die Uhr daran, die Lücken zu schliessen.