PHP-Sicherheitslücke: Landkreis Hameln-Pyrmont nahm Online-Dienste vom Netz

Wer am Mittwoch, 21. Oktober 2026, beim Landkreis Hameln-Pyrmont online einen Antrag stellen wollte, stand vor verschlossener Tür. Wegen einer weltweiten Sicherheitslücke in der Programmiersprache PHP hat die Kreisverwaltung ihre Internetseite hameln-pyrmont.de und ihre Online-Dienste vorsorglich vom Netz genommen. Am Mittwochabend wurden die Sicherheitsupdates eingespielt.

Am Donnerstag, 22. Oktober, wies der Landkreis darauf hin, dass einzelne Online-Dienste wegen der öffentlich bekannt gewordenen PHP-Lücke weiterhin nicht erreichbar seien. Zusätzlich fiel die Zahlung mit Kreditkarte bei allen Diensten der Kreisverwaltung aus, auch im Serviceportal. Grund dafür seien Sicherheitsarbeiten bei einem externen Finanzdienstleister, andere Zahlungswege wie PayPal funktionierten weiter. Noch am selben Tag meldete die Verwaltung: Online-Dienste und Kreditkartenzahlung sind wieder verfügbar.

Die Abschaltung erfolgte vorsorglich. Ob es Angriffsversuche auf die Systeme des Landkreises gab, hat die Verwaltung nicht mitgeteilt. Offen ist auch, wie viele Anträge und Zahlungen in der Zeit liegen geblieben sind.

Angriffe binnen Stunden befürchtet

Dass Behörden so schnell reagiert haben, hat einen Grund. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte am Mittwoch vor kritischen Schwachstellen in PHP gewarnt. Nach dem Stand des BSI sind alle bekannten PHP-Versionen betroffen, mindestens zurück bis PHP 5. Angreifer könnten über die Lücken aus der Ferne Schadcode auf Webservern ausführen.

BSI-Vizepräsident Thomas Caspers hielt eine großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Updates für wahrscheinlich. Angreifer könnten die Korrekturen mit KI-gestützten Werkzeugen auswerten und daraus schnell Angriffswerkzeuge bauen. „Es besteht also unverzüglicher Handlungsbedarf!“, so Caspers. Das Amt riet Betreibern, die Patches sofort nach Erscheinen um 16 Uhr deutscher Zeit einzuspielen, Personal dafür bereitzuhalten und öffentlich erreichbare PHP-Server genau zu beobachten.

Zwei Lücken, vier neue Versionen

Das PHP-Projekt selbst hatte die Veröffentlichung bereits am Dienstag, 20. Oktober, angekündigt. Es geht um zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten auf der gängigen Bewertungsskala CVSS eingestuft. Geschlossen sind sie in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Am stärksten gefährdet sind nach Angaben der Entwickler Server, auf denen PHP als Apache-Modul (mod_php) läuft: Dort kann eine Anfrage ohne Anmeldung den Angriff auslösen, noch bevor die eigentliche Anwendung startet.

Eine vollständige Abhilfe ohne Update gibt es laut PHP-Projekt nicht. Für PHP 8.1 und ältere Versionen liefert das Projekt keine regulären Aktualisierungen mehr, für die Versionen 7.4, 8.0 und 8.1 aber minimale Korrekturen. PHP 8.2 erreicht am 31. Dezember 2026 das Ende seiner Unterstützung.

Auch Vereinsseiten und kleine Shops prüfen

Die Lücke betrifft nicht nur Verwaltungen. PHP ist nach BSI-Angaben weit verbreitet, Angriffe könnten deshalb IT-Systeme in vielen Bereichen treffen. Wer für einen Verein, einen Betrieb oder privat eine Internetseite bei einem Webhoster betreibt, die mit PHP arbeitet, sollte beim Anbieter klären, welche PHP-Version eingesetzt wird und ob das Update bereits installiert ist. Bei Seiten, die noch auf einer alten, nicht mehr gepflegten Version laufen, bleibt nur der Umstieg auf eine unterstützte Version.