Millionen von Hackerangriffen: So kam es zum Fiasko um die PHP-Sicherheitslücke

Millionen von Hacker-Angriffen: So kam es zum Fiasko um die PHP-Sicherheitslücke

Unvorsichtige Kommunikation, eine ignorierte Sperrfrist und mit KI bewaffnete Hacker führten zu einem Cybersicherheits-Desaster. Rekonstruktion eines hektischen IT-Tages.

22.10.2026, 17.39 Uhr

5 Leseminuten

Als Marcus Dantz am Mittwochmorgen seine Nachrichten liest, wird ihm gleich klar, dass ihm ein stressiger Tag bevorsteht. Dantz ist an der Universität Basel für den Schutz der IT-Systeme verantwortlich. Und ein Teil von diesen basiert auf PHP, jener Software, in der gerade eine schwerwiegende Sicherheitslücke bekannt wurde.

Optimieren Sie Ihre Browsereinstellungen

NZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.

Bitte passen Sie die Einstellungen an.

Dantz weiss: Durch diese Schwachstelle könnten Hacker in die Systeme der Universität eindringen und sich uneingeschränkten Zugriff verschaffen. Ein Update, das die Lücke schliesst, ist für den Nachmittag angekündigt. Dantz ruft beim Rektorat der Universität an und warnt: Da kommt etwas Grosses auf uns zu.

Wie ihm dürfte es am Mittwoch IT-Verantwortlichen auf der ganzen Welt gegangen sein. Denn die Schwachstelle, um die es geht, betrifft rund 70 Prozent aller Webseiten. Und eine Kombination aus künstlicher Intelligenz und geleakten Informationen lieferten den Hackern im Wettrennen um die IT-Sicherheit einen Startvorsprung. Millionen von Webseiten wurden sicherheitshalber stundenlang vom Netz genommen.

PHP ist der Motor des Internets

Die Sicherheitslücke in der Software existiert bereits seit Jahren. PHP ist open-source. Das bedeutet: Der gesamte Programmiercode ist öffentlich, jeder hat Zugriff darauf. Entwickelt und gewartet wird er von unbezahlten Programmierern sowie von einer Handvoll Entwicklern, die von Spendengeldern einer gemeinnützige Stiftung namens PHP Foundation finanziert werden.

Die PHP-Software ist eine Art Motor hinter den Kulissen des Internets. Sie ist dafür verantwortlich, dass Webseiten nicht nur aus statischem Text bestehen, sondern interaktiv funktionieren: Sie lädt Nutzerdaten bei Profilen mit Log-in, sie sorgt dafür, dass man auf einer Webseite eines Skilifts ein Icon mit dem lokalen Wetter einbetten kann oder dass ein Unternehmen ein Widget mit den neusten Blog-Beiträgen des CEO auf seine Webseite schalten kann. Weil die PHP-Software der Funktionsweise des Internets zugrunde liegt, ist sie sehr weit verbreitet.

Und obwohl sie fast alle verwenden, blieb der Fehler in der Programmierung lange unentdeckt.

Doch die neusten KI-Modelle sind gut darin, Sicherheitslücken zu finden – auch solche, die Menschen übersehen haben. So war es ein KI-Modell von Open AI, mithilfe dessen Sicherheitsforscher die Schwachstelle gefunden haben. Ein Team der PHP Foundation begann sofort damit, ein Sicherheitsupdate zu entwickeln, das die Lücke schliesst.

Doch was als Sicherheitsmassnahme geplant war, eskalierte zum Wettrennen mit Hackern.

Erste Informationen gelangen an die Öffentlichkeit

Die Schwachstelle in PHP hätte eigentlich bis kurz vor der Veröffentlichung der Gegenmassnahme geheim bleiben sollen. Nur einige Betreiber von Servern wurden vorab gewarnt, sich auf das bevorstehende Update vorzubereiten. Einigen schickte die PHP Foundation bereits den Programmcode für das Update, unter Embargo.

Dass Sicherheitsupdates mit Embargo versehen und weltweit gleichzeitig durchgeführt werden, ist ein übliches Vorgehen. Die Koordination verhindert, dass Hacker an bestimmte Informationen kommen: Publiziert ein Dienstleister das Sicherheitsupdate zu früh, wissen die Hacker, dass bei allen anderen die Lücke noch offen steht. Genau das fliegt den Cybersicherheitsexperten weltweit am Mittwoch um die Ohren.

Doch an der Geheimhaltung scheitert schon davor einiges. Bereits am späten Montagabend dringen Informationen über das geplante Sicherheitsupdate an die Öffentlichkeit. In einem Beitrag auf dem Informatik-Forum Hacker News schreibt ein Nutzer, die Schliessung zweier Sicherheitslücken sei geplant. Viel mehr gibt er nicht bekannt, nur die betroffenen Versionen der Software und dass die Lücken einem Hacker vollen Zugriff auf die Website gewähren können.

Der Post ist wohl als Warnung für Betreiber von Webservern gedacht. Doch er schickt auch eine Nachricht an Hacker: Ein Grossteil des Internets hat eine Sicherheitslücke. Behoben wird sie erst in ein paar Tagen. In den nächsten Stunden kursieren immer mehr Gerüchte über Hacker, die die Schwachstelle bereits erfolgreich ausnutzen.

Es sind diese Gerüchte, die Dantz am Mittwochmorgen liest. Ihm ist klar: Hacker könnten schon in diesen Minuten daran arbeiten, in die Systeme der Universität Basel einzudringen. Bei der Arbeit angekommen, setzt Dantz sofort einen «war room» auf, einen Videocall mit IT-Zuständigen aus allen Bereichen. Hier koordinieren sie ihr Vorgehen.

Der erste Schritt: Gemeinsam mit der Universitätsleitung entscheiden, bestimmte Webseiten vorsorglich offline zu nehmen. Gegen Mittag sind die Lernplattform für Studenten und mehrere weitere Systeme der Universität vom Netz.

Ein solch drastischer Schritt ist in der IT-Sicherheit die absolute Ausnahme. Doch dieses Mal ist es das einzige, was schützt. Denn zu diesem Zeitpunkt finden schon massive Angriffswellen statt. Matthew Prince, CEO des IT-Unternehmens Cloudflare, schreibt auf X, sein Team habe innerhalb von wenigen Stunden nach Bekanntwerden der Sicherheitslücke Millionen von Angriffe erkannt.

Some stats on #php2shell. In the 10 hours before it was publicly announced, across the @Cloudflare network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.

— Matthew Prince 🌥 (@eastdakota) October 22, 2026

Ein ignoriertes Embargo gibt Hackern noch mehr Infos

Am Mittwoch überschlagen sich dann die Ereignisse. Das Unternehmen Chainguard, das schon frühzeitig den Code für das Sicherheitsupdate erhalten hat, hält sich nicht an eine Sperrfrist der PHP Foundation von Mittwoch, 16 Uhr. Es publiziert den Patch, also den Code, der die Lücke schliesst, schon frühzeitig.

Nun wissen auch jene Hacker, die die Sicherheitslücke selbst noch nicht gefunden haben, wo die Schwachstelle liegt. Für die Entscheidung, sich nicht an das Embargo gehalten zu haben, wird der CEO von Chainguard kritisiert. Doch er rechtfertigt sein Vorpreschen damit, dass es für Hacker extrem einfach war, die Sicherheitslücke zu finden. Alles, was es brauchte, war der Prompt: «Finde schlimme Sicherheitslücken in PHP», schreibt er auf Linkedin.

Durch Chainguard unter Druck gesetzt, publiziert die PHP Foundation um 15:20 Uhr das ersehnte Update. Die Serverbetreiber weltweit laden es hoch und sichern ihre Webseiten.

Auch Dantz und sein Team machen sich daran, so schnell wie möglich das Update in alle nötigen Systeme einzubauen und die Webseiten nach und nach wieder online zu bringen. Gegen 18 Uhr 30 sind die meisten Systeme reaktiviert.

Solche Sicherheitsupdates sind an sich nichts Neues für Dantz. Doch das Tempo, mit dem er reagieren muss, habe sich extrem verändert, sagt er: «Vor der KI-Zeit hätte man vielleicht ein bis zwei Wochen gehabt, bevor jemand auf einer Schwachstelle einen funktionierenden Angriff aufbaut. Heute sind es zehn oder fünfzehn Minuten.»

Internet wird nicht «untergehen»

Damit ist das Schlimmste nun vorerst abgewendet. Allerdings gilt das Sicherheitsupdate nur für die zwei neusten Versionen der PHP-Software. Ältere Versionen sind Angriffen noch immer schutzlos ausgeliefert.

Deshalb sei es nur eine Frage der Zeit, bis Hacks auf Unternehmen bekannt werden, sagt Candid Wüest. Er ist Experte beim Cybersicherheitsunternehmen Xorlab. Allerdings rechnet er nicht damit, «dass das Internet untergeht.» Dies begründet er damit, dass die Sicherheitslücke innerhalb kürzester Zeit sehr bekannt wurde. Dutzende Regierungen warnten davor, in Japan meldete sich sogar der Premierminister. «Zumindest die grossen Unternehmen haben die Updates schnell durchgeführt», sagt Wüest.

Das grössere Risiko sieht der Experte daher bei kleinen Firmen, bei denen sich niemand explizit um die Webseite kümmert. Aber selbst bei denen sei die Gefahr begrenzt, schliesslich müssen für das Sicherheitsupdate meist nicht die Betreiber der Webseiten selbst aktiv werden, sondern die Betreiber ihrer Server. Und von denen dürfte die überwältigende Mehrheit rechtzeitig von der Sicherheitslücke erfahren haben, glaubt Wüest.

Deshalb prognostiziert der Experte: «Es wird erfolgreiche Angriffe geben, die auf die PHP-Sicherheitslücke zurückgehen. Aber sie werden im Grundrauschen der normalen Cyberangriffe untergehen.»

KI hilft Angreifern mehr als Verteidigern

Die Episode zeigt, wie stark KI die Hacking-Szene beschleunigt. Das enorme Tempo der KI nützt den Angreifern mehr als den Verteidigern, ist Wüest überzeugt. «Wer sich schützen will, muss die Sicherheitslücke finden und sie danach auch noch schliessen. Wer hingegen angreift, kann sofort loslegen, nachdem er die Lücke gefunden hat.» Er glaubt deshalb, dass es in Zukunft noch zu mehreren solcher Vorfälle kommen wird.

Am Ende legte das PHP-Fiasko die Schwachstellen der modernen Netzinfrastrukur offen: Wo unbedachte menschliche Kommunikation auf technisch hochgerüstete Hacker trifft, wird selbst das Fundament des Internets schnell beschädigt.

Passend zum Artikel