Veröffentlicht von: Hallo-Redaktion (geprüft und freigegeben)
Dieser Beitrag wurde mithilfe künstlicher Intelligenz vorbereitet und geschrieben. Die Hallo-Zeitung-Redaktion hat den Text und die verwendeten Quellen vor der Veröffentlichung auf Fakten, Logik und Qualität geprüft.
Sicherheitsupdates stehen bereit. Hochschulen, Behörden und Unternehmen schränkten Dienste vorsorglich ein; bis 22. Oktober 2026 waren dem Innenministerium keine daraus resultierenden Cyberangriffe gemeldet worden.
Zwei kritische Sicherheitslücken in der serverseitigen Skriptsprache und Laufzeitumgebung PHP haben in Österreich umfangreiche Vorsichtsmaßnahmen ausgelöst. CERT.at ging von rund 400.000 betroffenen Installationen im Land aus. Hochschulen, Behörden und Unternehmen schalteten einzelne digitale Dienste vorübergehend ab oder schränkten deren Erreichbarkeit ein, um Sicherheitsupdates zu installieren und Systeme zu prüfen. Nach Angaben des Innenministeriums waren bis 22. Oktober 2026 keine Cyberangriffe auf österreichische Websites infolge dieser Schwachstellen gemeldet worden.
Die Sicherheitsfehler tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Beide erhielten im Bewertungssystem CVSS 4.0 einen Basiswert von 9,2 und liegen damit im kritischen Bereich. Das PHP-Projekt veröffentlichte am 21. Oktober 2026 korrigierte Softwareversionen. CERT.at warnte, dass grundsätzlich alle PHP-Installationen gefährdet sein können, die Webanfragen verarbeiten.
Fremder Code kann ohne Anmeldung ausgeführt werden
PHP wird auf Servern eingesetzt, um dynamische Websites und Webanwendungen zu betreiben. Die Laufzeitumgebung kommt unter anderem bei Onlineshops, Redaktionssystemen, Behördenangeboten und internen Plattformen zum Einsatz. Die von CERT.at genannten rund 400.000 Installationen sind nicht mit ebenso vielen eigenständigen Websites oder Organisationen gleichzusetzen. Auf einem Server können mehrere Angebote laufen, während eine Organisation mehrere PHP-Installationen betreiben kann.
Nach Angaben von CERT.at können nicht authentifizierte Angreifer die beiden Schwachstellen potenziell dazu verwenden, beliebigen Programmcode auszuführen. Eine vorherige Anmeldung ist nicht erforderlich. Eingeschleuster Code läuft mit den Rechten des jeweiligen Webserver- oder PHP-Prozesses. Welche Folgen eine Ausnutzung konkret hätte, hängt daher auch von der Konfiguration und den vergebenen Zugriffsrechten ab.
Als gefährdet gelten mehrere verbreitete Betriebsarten und Serverintegrationen, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das PHP-Projekt bewertete das Risiko bei Apache mit mod_php als besonders hoch. Für diese Konfiguration wurde eine Ausnutzung demonstriert, die bereits vor der Ausführung des eigentlichen Anwendungscodes ansetzt. Schutzmaßnahmen innerhalb einer betroffenen Webanwendung könnten deshalb zu spät greifen.
Diese PHP-Versionen schließen die Sicherheitslücken
Die Fehler wurden in folgenden Versionen behoben:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Nach Angaben des PHP-Projekts bietet nur die Aktualisierung auf eine korrigierte Version vollständige Abhilfe. Die Versionsreihen PHP 8.1 und älter werden regulär nicht mehr unterstützt. Wegen der Schwere der Sicherheitsprobleme stellte das Projekt für PHP 7.4, 8.0 und 8.1 dennoch minimale Quellcode-Korrekturen bereit.
Diese Backports ändern nichts am grundsätzlichen Risiko veralteter Software. Außerhalb des regulären Unterstützungszeitraums fehlen umfassende und laufende Sicherheitsupdates. Ein punktueller Patch für die beiden aktuellen Schwachstellen behebt daher nicht automatisch andere bekannte oder künftig entdeckte Sicherheitsprobleme.
Das PHP-Projekt machte am 21. Oktober 2026 keine Angaben über eine aktive Ausnutzung. CERT.at rechnete allerdings mit einer raschen Weiterentwicklung verfügbarer Angriffswerkzeuge und einer zeitnahen breiten Ausnutzung. Dabei handelte es sich um eine Risikoeinschätzung und nicht um den Nachweis konkreter Angriffe in Österreich.
Universitäten und Landesdienste zeitweise eingeschränkt
Mehrere österreichische Einrichtungen reagierten mit vorsorglichen Einschränkungen. Die TU Wien setzte für den 21. Oktober 2026 dringende Wartungsarbeiten an. Während des Wartungsfensters sollten ihre Onlinesysteme nur über das interne TUnet einschließlich TU-VPN erreichbar sein. Als Grund nannte die Universität das Einspielen der erforderlichen Sicherheitsupdates und die Absicherung ihrer IT-Systeme.
Auch die Universität Innsbruck nahm mehrere zentrale IT-Dienste vorübergehend offline. Am 21. Oktober 2026 war der Universität keine Kompromittierung ihrer Systeme bekannt. Bereits am 22. Oktober waren zahlreiche Dienste wieder verfügbar, darunter die Uni-App, das Webmail-Angebot für Studierende und mehrere Verwaltungsplattformen.
In Vorarlberg nahm das Land betroffene Anwendungen und Dienste zeitweise vom Netz. Nach Bereitstellung der Updates wurden rund zehn Server aktualisiert. Nach Angaben des Landes konnten sämtliche betroffenen Anwendungen am 22. Oktober 2026 wieder online gestellt werden. Hinweise auf Angriffe auf diese Landesdienste lagen zu diesem Zeitpunkt nicht vor.
Auch Angebote der Universität Wien waren vorübergehend nicht erreichbar. Der Industriekonzern voestalpine bestätigte eine präventive Abschaltung zentraler IT-Services. Solche Unterbrechungen bedeuten nicht automatisch, dass eine Einrichtung angegriffen oder kompromittiert wurde. Sie können als Vorsichtsmaßnahme erfolgen, bis Aktualisierungen installiert und Systeme technisch geprüft sind.
Fehlende Meldungen schließen unentdeckte Vorfälle nicht aus
Der Meldestand des Innenministeriums vom 22. Oktober 2026 bedeutet, dass bis dahin keine Cyberangriffe auf österreichische Websites infolge der beiden PHP-Schwachstellen gemeldet worden waren. Daraus lässt sich jedoch nicht ableiten, dass es keine unentdeckten Vorfälle oder erfolglosen Angriffsversuche gegeben hat. Auch spätere Angriffe sind damit nicht ausgeschlossen.
Zwischen dem Bekanntwerden einer Schwachstelle, der Entwicklung automatisierter Angriffswerkzeuge und dem Einspielen von Updates kann ein kritisches Zeitfenster entstehen. Das ist bei PHP besonders relevant, weil die Laufzeitumgebung auf zahlreichen öffentlich erreichbaren Servern eingesetzt wird. Neben sichtbaren Websites können interne Anwendungen, ältere Speziallösungen und Systeme bei externen Hostinganbietern betroffen sein.
Für Betreiber bleibt daher der tatsächliche Versions- und Patchstand entscheidend. Wo Dienste vorsorglich abgeschaltet wurden, hängt die Wiederinbetriebnahme nicht nur vom Update, sondern auch von technischen Prüfungen und den Abläufen der jeweiligen Organisation ab. Korrigierte PHP-Versionen stehen bereit; ohne die entsprechenden Aktualisierungen bleiben betroffene Systeme durch die bekannten Schwachstellen verwundbar.
