IT-Sicherheitslücke: Kommunen müssen handeln

Am 21. Oktober 2026 warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer schwerwiegenden Sicherheitslücke in der Programmiersprache PHP. Zwei kritische Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 betrachten ein kritisches Risiko mit einem CVSS-Score von 9,2 von maximal 10 Punkten. Diese Lücken ermöglichen es Angreifern, ohne vorherige Anmeldung eigenen Programmcode auf betroffenen Webservern auszuführen. Die Schwachstelle betrifft rund 70 Prozent aller Webseiten im Internet, darunter zahlreiche kommunale Internetauftritte, die auf PHP-basierten Content-Management-Systemen wie WordPress, TYPO3 oder Drupal basieren.

Zahlreiche Kommunen reagierten vorsorglich und schalteten ihre Websites bereits vorübergehend ab. Zu den betroffenen Einrichtungen zählen das Robert Koch-Institut, die Bundespolizei, das Zollamt und die Universität Potsdam. Auch die Charité und das Bundesinnenministerium waren erreichbar. Nach dem Einspielen der vom PHP-Entwicklerteam veröffentneten Sicherheitsupdates sind viele Webseiten wieder online – nicht alle jedoch wieder vollständig funktionsfähig.

Warum der BSI Alarm schlägt

Die Sicherheitslücken ermöglichen es Angreifern, aus der Ferne Schadcode auf Webservern auszuführen, ohne sich vorher anmelden zu müssen. Im schlimmsten Fall könnten sie die Kontrolle über einen Server übernehmen, Daten auslesen oder weitere Schadsoftware einschleusen. Das Österreichische Computer Emergency Response Team (CERT.at) hatte bereits möglichen Angriffscode im Internet veröffentlicht, bevor die Updates verfügbar waren, was eine aktive ausnutzende Bedrohung darstellt.

Was Kommunen tun müssen

Die Sicherheitsbehörden empfehlen, unverzüglich zu prüfen, welche Systeme PHP einsetzen und welche Versionen aktuell laufen. Kommunen sollten nicht nur die betroffenen Systeme identifizieren, sondern auch prüfen, ob bereits versuchte Ausnutzungen in den Protokollen erkennbar sind. Insbesondere ältere PHP-Versionen laufen weiterhin Sicherheitskorrekturen nicht mehr zu – sie müssen dringend aktualisiert werden.

• Betroffene Systeme ermitteln: Welche Webseiten, Serviceportale und Anwendungen verwenden PHP? Welche Versionen sind installiert?
• Zuständigkeiten klären: Mit der eigenen IT-Abteilung, dem kommunalen Rechenzentrum oder dem externen Anbieter abstimmen, wer die notwendigen Maßnahmen umsetzt.
• Updates einspielen: Die vom PHP-Entwicklerteam veröffenttten Sicherheitskorrekturen sofort installieren und anschließend die Funktionsfähigkeit prüfen.
• Internetzugriff einschränken: Gefährdete Systeme gegebenenfalls vorübergehend vom Netz trennen, wenn eine sichere Aktualisierung kurzfristig nicht möglich ist.
• Angriffsversuche überprüfen: Serverprotokolle und andere sicherheitsrelevante Hinweise auswerten, um mögliche Zugriffe oder Manipulationen zu erkennen.
• Bürger informieren: Bei Ausfällen auf erreichbare Telefonnummern, E-Mail-Adressen und alternative Wege zu Verwaltungsleistungen hinweisen.

Ein wichtiger Hinweis: Viele kommunale Websites werden nicht selbst betrieben, sondern über externe Dienstleister oder Rechenzentren. Auch hier gilt: Eindeutige Absprache, wer die Updates installiert und die Systeme überwacht.

Praxis-Tipps für kleine Verwaltungen

Ohne eigene IT-Experten ist es oft sinnvoll, die Updates über kommunale IT-Dienstleister zu installieren. Wichtig ist, dass die Updates zeitnah eingespielt werden, da Angreifer Lücken meist schnell im Auge behalten. Bei Unsicherheit kann die BSI-Website weitere Anleitungen und Tools für die Prüfung bereitstellen.

Quellen

[BSI-Warnung zu PHP-Sicherheitslücken](https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.html)

[Details zum BSI-Hinweis (PDF)](https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf)

[InfoQ-Artikel zur Lücke](https://www.infoq.com/news/2026/10/php-vulnerability-cve-2026-109618-109619/)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.