Die PHP-Lücke steckt in Websites, nicht in deinem Handy – das bedeutet sie für dich.

Am 21. Oktober gingen Seiten von Kliniken, Städten und Universitäten vorsorglich vom Netz. Was hinter „PHP2Shell“ steckt und warum du am eigenen Handy nichts umstellen musst.

Betrug & Abzocke

Am Mittwoch, dem 21. Oktober 2026, war die Internetseite der Charité in Berlin am Nachmittag nicht mehr zu erreichen. Die Stadt Mainz schaltete ihr Portal mainz.de ab, auch die Internetseiten der Universität Potsdam waren weg. Alle taten das vorsorglich. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte am selben Tag vor zwei schweren Lücken gewarnt, die Fachleute „PHP2Shell“ nennen, und geraten, Server im Zweifel vom Netz zu nehmen.

PHP ist eine Programmiersprache, mit der Internetseiten gebaut werden. Sie läuft nicht bei dir, sondern auf den Rechnern der Anbieter, den Servern. Von allen Websites, deren Technik bekannt ist, nutzen rund 69 von 100 diese Sprache (W3Techs, Stand 22. Oktober 2026). Alle Seiten, die mit WordPress gebaut sind, laufen damit, auch ki-entspannt.de.

Stell dir ein Geschäft vor, in dem du einkaufst. PHP ist die Technik im Hinterzimmer: Kasse, Lager, Kundenkartei. Bei PHP2Shell stand die Hintertür offen, und Fremde hätten an die Kundenkartei kommen können. Zu dir nach Hause führt diese Tür nicht. Die Entwickler von PHP haben am 21. Oktober ein neues Schloss geliefert, ein Update. Einbauen muss es jede Website selbst, meist erledigt das die Firma, bei der die Seite untergebracht ist. Angreifer probieren seitdem massenhaft aus, welche Server noch offen sind. Einen gelungenen Einbruch hat bis zum 23. Oktober keine Sicherheitsfirma bestätigt. Huntress und Patchstack etwa sahen am 21. Oktober nur Versuche.

Was das für dich bedeutet.

Die Verbraucherzentrale Baden-Württemberg schreibt dazu am 22. Oktober: „Es besteht kein direkter Handlungsbedarf fürs private Surfen im Internet.“ Du kannst also weiter einkaufen, Nachrichten lesen und Termine buchen. Spüren kannst du die Lücke trotzdem:

• Seiten sind eine Weile nicht erreichbar. Eine Online-Terminbuchung oder ein Bürgerportal ist für ein paar Stunden weg. Das ist lästig, sagt aber nichts über dein Gerät. Mainz zum Beispiel verwies so lange auf Telefon und E-Mail.
• Kundendaten könnten abfließen. Erneuert ein Shop seine Technik nicht rechtzeitig, könnten Fremde an Namen, Adressen oder E-Mail-Adressen kommen. Davor warnt die Verbraucherzentrale. Einen bestätigten Fall gab es bis zum 23. Oktober nicht.
• Betrüger nutzen die Schlagzeilen. Nach großen Sicherheitsmeldungen tauchen oft Mails und SMS auf, die „wegen eines Sicherheitsvorfalls“ verlangen, dass du deine Daten bestätigst. Diese Folge erreicht dich am ehesten.

So gehst du ruhig vor.

Gefunden hat die Lücke eine KI.

Das Besondere an PHP2Shell: Sicherheitsforscher haben die Lücke mit Hilfe von KI entdeckt. Die Firma Calif fand die erste Schwachstelle am 1. August mit einem Modell von OpenAI, der Firma hinter ChatGPT. Die Firma Wiz, die zu Google gehört, fand sie am 19. August unabhängig davon, unter anderem mit Googles Gemini. Danach arbeiteten die Entwickler von PHP still an der Reparatur, bis Einzelheiten am 20. Oktober vorzeitig öffentlich wurden.

Was Forschern hilft, hilft auch Angreifern. Amazon schreibt, KI mache es billiger, aus einer veröffentlichten Reparatur in wenigen Stunden einen funktionierenden Angriff zu bauen. Für dich heißt das nicht, dass du mehr tun musst. Es heißt, dass die Anbieter schneller reagieren müssen. Genau das haben viele am 21. Oktober getan, als sie ihre Seiten lieber kurz abgeschaltet haben.

Was das nicht leistet.

Ob ein bestimmter Shop betroffen war, kannst du von außen nicht erkennen. Das wissen nur der Betreiber und sein Anbieter. Die vier Schritte schützen dich vor den häufigsten Folgen, aber nicht davor, dass bei einem Anbieter Daten abfließen. Darauf hast du keinen Einfluss. Erfährst du später von einem solchen Fall, gilt Schritt 02.

Quellen (abgerufen am 23. Oktober 2026): Verbraucherzentrale Baden-Württemberg: PHP2Shell (Stand 22. Oktober 2026) · BSI: Cybersicherheitswarnung PHP (21. Oktober 2026) · dpa im Tagesspiegel: Sicherheitslücke in PHP (21. Oktober 2026) · Fortune: KI fand die PHP-Lücke (englisch, 21. Oktober 2026) · Amazon Web Services: Angriffe auf PHP2Shell (englisch, 21. Oktober 2026) · Huntress: PHP2Shell (englisch, 21. Oktober 2026) · W3Techs: Verbreitung von PHP. So wurde dieser Beitrag erstellt: Wir haben am 23. Oktober 2026 die Meldungen von BSI, Verbraucherzentrale, der Nachrichtenagentur dpa und mehreren Sicherheitsfirmen ausgewertet. Auch ki-entspannt.de läuft mit PHP.

Eine Lücke im Server schließt der Anbieter. Bei dir bleibt nur eine Aufgabe: Links in aufgeregten Nachrichten nicht antippen.