Eine Schwachstelle in der Programmiersprache PHP betrifft Websites weltweit – auch die von Bodenlegern und anderen Handwerksbranchen. Was passiert ist, welche Schritte jetzt schnellstmöglich angegangen werden sollten und was Experten raten.
Viele Betriebswebsites von Bodenlegern und Handwerkern sind vor Jahren aufgesetzt worden und werden seitdem kaum angefasst. Genau solche Seiten seien jetzt ein Risiko. Am 20. Oktober 2026 wurde eine Sicherheitslücke in der Programmiersprache PHP öffentlich, die Webseiten weltweit betrifft. Wer nicht weiß, ob die eigene Seite PHP nutzt, sollte das jetzt klären.
Die PHP-Sicherheitslücke im Überblick
PHP ist eine Programmiersprache, die auf dem Webserver läuft und Seiteninhalte erzeugt, bevor sie im Browser des Besuchers ankommen. Viele Content-Management-Systeme, mit denen Betriebswebsites gepflegt werden, bauen darauf auf. Für den Betriebsinhaber bleibt das in der Regel unsichtbar: Er sieht seine Seite, nicht die Technik dahinter. Manuel Atug, Mitgründer der Arbeitsgruppe Kritische Infrastruktur erklärt rbb/24: "Die PHP-Entwickler haben offensichtlich seit 20 Jahren diese Lücke im Programm, denn alle Versionen sind betroffen."
Die Deutsche Presse Agentur (dpa) berichtet, dass unter dem Namen "PHP2Shell" Sicherheitsexperten vor gleich zwei kritischen Schwachstellen im Kern der Programmiersprache warnen würden. Diese werden unter den offiziellen Registriernummern CVE-2026-109618 und CVE-2026-109619 geführt.
Für Handwerksbetriebe ist vor allem eine Frage relevant: Wird die Lücke bereits aktiv ausgenutzt? Davon hängt ab, wie viel Zeit für das Update bleibt.
Was kann dadurch passieren? Folgen für die Betriebswebsite
Wird die Lücke ausgenutzt, kann ein Angriff auf die Betriebswebseite fatal sein. Angreifer können durch die PHP-Sicherheitslücke Kontrolle über die Webseite übernehmen, die Infrastruktur für weitere Cyberattacken missbrauchen oder sensible Kundendaten abrufen und speichern.
Für einen Bodenlegerbetrieb bedeutet das konkret: Die Website ist oft der erste Kontakt zum Kunden. Wer ein Anfrageformular eingebunden hat, sammelt darüber Namen, Adressen und Telefonnummern – manche Betriebe auch Fotos vom Objekt. Eine übernommene Seite kann außerdem gegen die eigenen Besucher eingesetzt werden. Der Schaden trifft dann nicht nur den Betrieb, sondern auch seine Kunden.
Wie lässt sich das verhindern?
Der Standardweg ist ein Update. Wer die Website bei einem Hoster betreibt, muss das meist nicht selbst erledigen: Entweder spielt der Hoster das Update ein, oder die PHP-Version lässt sich im Kundenmenü umstellen. Webseiten, die nicht geschützt werden können, sollten abgeschaltet werden – so der Rat der Sicherheitsbehörden. Das klingt hart, folgt aber einer einfachen Logik: Eine Seite, die nicht erreichbar ist, lässt sich auch nicht angreifen. Für einen Betrieb ist eine abgeschaltete Seite ärgerlich – eine gekaperte Seite ist teurer. Einige Kommunen, Behörden, Universitäten und Betriebe haben auf die Warnung gehört und ihrer Seite den Stecker gezogen.
Was bringt das so wichtige Update?
Ein Update schließt die Lücke und beseitigt die aktuelle Gefahr. Die dpa schreibt, dass die Entwickler der Programmiersprache sowie Hosting-Anbieter weltweit derzeit rund um die Uhr daran arbeiten würden, korrigierte Softwareversionen bereitzustellen und zu verteilen. Dabei handle es sich nicht um Routineupdates, sondern um eine der gravierendsten Sicherheitslagen der letzten Jahre. bwd