Heute ist der 21.10.2026 und die Stadt Berlin steht aufgrund einer schwerwiegenden IT-Sicherheitslücke im Rampenlicht. Diese neu entdeckte Schwachstelle betrifft die Programmiersprache PHP und könnte Millionen Webseiten weltweit gefährden. In der Hauptstadt haben zahlreiche Behörden, Bildungseinrichtungen und Gesundheitsdienstleister am Mittwoch vorsorglich ihre Webseiten offline genommen. Die Charité, eine der bekanntesten Kliniken Berlins, stellte klar, dass es sich nicht um einen Cyberangriff handele, sondern um eine präventive Maßnahme. Sicherheitsupdates sollten bis Donnerstag installiert werden, um die Systeme zu schützen.

Die Auswirkungen sind spürbar. Die Charité sagte, dass die internen Abläufe nicht betroffen seien, aber die öffentliche Auffindbarkeit und Online-Dienste, wie etwa die Terminbuchungen, stark eingeschränkt sind. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Lage als kritisch eingestuft und Betreiber eindringlich dazu aufgefordert, die Sicherheitsupdates schnell zu installieren. So wurde die aktualisierte Version „PHP 8.5.12“ veröffentlicht, die dringend empfohlen wird.

Webseiten offline – die Liste der Betroffenen

Die Liste der vorübergehend nicht erreichbaren Webseiten ist lang. Die Berliner Feuerwehr, die Internetwache der Polizei, die Webseite der Bundespolizei und die Internetseite des Abgeordnetenhauses – all diese Seiten waren betroffen. Die Berliner Polizei wies darauf hin, dass in Notfällen weiterhin die 110 gewählt werden soll. Für Menschen mit Hör- oder Sprachbehinderungen gibt es die Möglichkeit, ein Fax an die 110 zu senden oder die Nora-App zu nutzen. Auch wenn die Webseiten offline waren, bleibt die Sicherheit der Bürger an oberster Stelle.

Am frühen Abend des gleichen Tages waren die meisten Webseiten des Landes Berlin wieder erreichbar. Allerdings blieben einige Berliner-Unterseiten, darunter bestimmte Formulare, der Newsletterversand und der Veranstaltungskalender, weiterhin offline. Auch die Freie Universität Berlin, die Humboldt-Universität und die Berliner Hochschule für Technik schränkten vorsorglich ihre Webseiten und IT-Dienste ein, um ihre Daten und IT-Infrastruktur zu schützen.

Die technische Seite der Sicherheitslücke

Die Schwachstelle ist nicht zu unterschätzen. Laut Berichten sind zwei kritische Remote-Code-Execution-Schwachstellen im PHP-Kern identifiziert worden: CVE-2026-109618 und CVE-2026-109619. Die CVSS v4.0-Bewertung dieser Lücken liegt bei 9.2, was sie extrem gefährlich macht. Das PHP-Team hat die Veröffentlichung der Details am 20. Oktober vor Ablauf einer Sperrfrist vorgezogen, nachdem sie geleakt wurden. Die gepatchten PHP-Versionen sind „8.5.12“, „8.4.27“, „8.3.36“ und „8.2.35“, die am 21. Oktober veröffentlicht wurden. Alle PHP-Installationen, die Web-Anfragen bearbeiten, sind betroffen – das schließt WordPress, Joomla, Magento und viele andere ein.

Die technischen Auswirkungen sind schwerwiegend. Ein Angreifer könnte ohne Anmeldung Code ausführen und möglicherweise Passwörter, Session-Tokens oder API-Schlüssel auslesen. Das BSI warnt vor einer kurzfristigen Ausnutzung verwundbarer Systeme, und Cloudflare beobachtet bereits Angriffsverkehr gegen Kunden-Websites. Eine aktive Bedrohung, die nicht ignoriert werden kann.

Vorsichtsmaßnahmen und Handlungsempfehlungen

Die Empfehlungen des BSI und des PHP-Teams sind klar: Betreiber sollten PHP und die zugehörigen Pakete umgehend aktualisieren. Auch das Überprüfen der tatsächlich verwendeten PHP-Version ist wichtig, da php -v nur die CLI-Version anzeigt. Bei Docker-Containern ist es notwendig, diese eigenständig neu zu bauen oder zu ziehen und anschließend neu zu starten. Das Update allein ist der einzige Weg, um vollständigen Schutz zu gewährleisten. Es gibt zwar Übergangsmaßnahmen, aber keine davon kann das Update ersetzen.

Für die Webseitenbetreiber ist die Herausforderung groß. Man muss sicherstellen, dass die Systeme nach dem Update ordnungsgemäß funktionieren und dass alle sicherheitsrelevanten Einstellungen angepasst werden. Verdächtige Aktivitäten wie das Starten von Shells oder neuen PHP-Dateien sollten genauestens überwacht werden. Bei Verdacht auf Kompromittierung sollte der Server sofort vom Netz getrennt werden – das klingt dramatisch, aber in der aktuellen Situation ist es absolut notwendig.

Die Ereignisse rund um diese Sicherheitslücke sind ein weiterer Weckruf für die digitale Sicherheit in unserer Stadt. Während die Betroffenen an Lösungen arbeiten, bleibt uns nur zu hoffen, dass die Situation schnellstmöglich entschärft wird. In der Zwischenzeit bleibt es wichtig, wachsam zu bleiben und die eigenen Systeme gut im Blick zu haben.