PHP-Lücke: Riesa bleibt online, Dresden zieht den Stecker

Riesa. Die Internetseite der Stadt Riesa ist trotz der weltweiten Sicherheitslücke in der Programmiersprache PHP ohne Einschränkungen erreichbar. Das teilte Uwe Päsler von der Pressestelle der Stadtverwaltung am Donnerstag mit. Der Dienstleister, der riesa.de betreut, habe die Lücke schon am Mittwochnachmittag geschlossen, sofort nachdem das Sicherheitsupdate bereitstand. Er sei damit der Empfehlung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) gefolgt. Eine vorsorgliche Abschaltung der Seite sei deshalb nicht nötig gewesen.

PHP steckt nach Angaben der Stadt in etwa 70 Prozent aller Webanwendungen. Darauf laufen auch verbreitete Systeme wie WordPress, TYPO3, Joomla oder Drupal.

Andere Städte in Sachsen gingen auf Nummer sicher. Am Mittwochnachmittag waren nach Angaben der Freien Presse vor allem die Internetseiten einzelner Städte und öffentlicher Einrichtungen wie Universitäten betroffen, darunter Dresden, Freiberg und Plauen. Oelsnitz im Vogtland nahm seine Homepage nach Angaben eines Stadtsprechers gegen 14 Uhr vom Netz. Am Donnerstagvormittag waren die Seiten von Freiberg, Plauen und Oelsnitz wieder erreichbar, dresden.de dagegen noch nicht. Auch in anderen Ländern wie Frankreich, den Niederlanden und Dänemark wurden Seiten abgeschaltet.

Es geht um zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619, in Fachkreisen auch „PHP2Shell“ genannt. Beide sitzen in der Speicherverwaltung und der Fehlerbehandlung von PHP und erhalten 9,2 von 10 möglichen Punkten auf der üblichen Bewertungsskala. Angreifer könnten damit aus der Ferne Schadcode auf Webservern ausführen, ohne sich anmelden zu müssen. Betroffen sind laut BSI alle bekannten PHP-Versionen, die Webanfragen verarbeiten.

Der Fehler ist alt. Nach Angaben des BSI und des europäischen CERT-EU sind alle PHP-Versionen bis mindestens zurück zu PHP 5 verwundbar, und erste Spuren fanden PHP-Entwickler laut PHP Foundation schon 2024. Den Weg zur Fernsteuerung von Servern meldeten im August 2026 aber mehrere Teams unabhängig voneinander: der Forscher Ryan A von der Sicherheitsfirma Calif, OpenAI mit seinem Werkzeug Codex Security und später die Google-Tochter Wiz.

Das BSI hält eine breite Ausnutzung kurz nach Erscheinen der Updates für wahrscheinlich. Bestätigte Angriffe waren zum Zeitpunkt der Warnung nicht bekannt, Berichte über erste Versuche konnte das Amt nicht überprüfen. Die Entwickler haben am Mittwoch die abgesicherten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Wer eine Internetseite betreibt, sollte beim eigenen Hoster oder IT-Dienstleister nachfragen, ob das Update eingespielt ist. Ein Update von WordPress oder TYPO3 allein reicht nicht.