Wer am Mittwochabend, 21. Oktober 2026, oder am folgenden Donnerstag die Website der Stadt Cottbus aufrufen wollte, stand vor verschlossener Tür. Ein Hackerangriff war nicht der Grund – die Stadt hat ihre Internetdienste vorsorglich abgeschaltet. Auslöser sind zwei kritische Sicherheitslücken in PHP, einer der meistgenutzten Programmiersprachen für Websites. Cottbus war damit nicht allein: Auch die BTU, die Medizinische Universität Lausitz, das Landesportal Brandenburg sowie Systeme des kommunalen IT-Zweckverbands DIKOM gingen vom Netz. Die Stadt berief einen Verwaltungsstab ein.

Was ist passiert?

Am 20. Oktober gelangten Details zu zwei bis dahin geheim gehaltenen Schwachstellen vorzeitig an die Öffentlichkeit. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden „PHP2Shell“ genannt. Beide erhalten auf der Bewertungsskala CVSS 4.0 die Note 9,2 von 10 – kritisch. Das PHP-Team zog daraufhin ein Notfall-Update vor und veröffentlichte es am 21. Oktober um 16 Uhr deutscher Zeit.

Was macht die Lücken so gefährlich?

Angreifer können über das Internet eigenen Programmcode auf einem Webserver ausführen – ohne Passwort, ohne Anmeldung. Fachleute nennen das Remote Code Execution. Die Fehler stecken in der Speicherverwaltung von PHP selbst: Bricht eine Anfrage etwa wegen Speichermangels ab, können Reste im Speicher zurückbleiben, die sich missbrauchen lassen. Einige Angriffswege greifen, bevor die eigentliche Website überhaupt startet – ein Login-Bereich oder eine Wartungsseite schützt also nicht.

Warum gleich offline?

Zwischen Bekanntwerden und Update lagen nur Stunden, und auch danach braucht es Zeit, bis alle Server aktualisiert sind. Die IT-Sicherheitsstelle der EU-Institutionen (CERT-EU) riet daher, betroffene Websites notfalls vom Netz zu nehmen. Für Behörden ist die Rechnung einfach: lieber einige Stunden nicht erreichbar als ein gekaperter Server mit Bürgerdaten.

Betrifft das auch WordPress?

Ja – aber nicht nur. Die Lücken liegen im PHP-Kern, also unter WordPress, Joomla, Shopsystemen und eigenen Anwendungen. Ein Update von WordPress, Plugins oder Themes reicht deshalb nicht. Entscheidend ist die PHP-Version auf dem Server.

Welche Versionen sind sicher?

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

PHP 8.1 und älter sind ebenfalls betroffen, erhalten aber keine regulären Updates mehr. Wer solche Versionen betreibt, sollte dringend umsteigen oder beim Hoster nachfragen, ob dort nachgebesserte Pakete bereitstehen. Linux-Distributionen wie Debian liefern die Korrekturen teils unter eigenen Versionsnummern aus – maßgeblich ist dann deren Sicherheitshinweis.

Was Website-Betreiber jetzt tun sollten:

1. PHP-Version prüfen – im Hosting-Kundenbereich oder auf dem Server.
2. Auf die gepatchte Version des eigenen Zweigs aktualisieren und PHP (bzw. den Webserver) neu starten.
3. Bei Shared Hosting: Statusseite des Anbieters prüfen – viele haben bereits selbst aktualisiert.
4. Übergangslösungen wie gesperrte Datei-Uploads nur als Notbehelf verstehen; sie schließen die Lücken nicht vollständig.
5. Server-Logs auf Auffälligkeiten prüfen, insbesondere wenn das Update erst verzögert eingespielt wurde.

Und die Besucher?

Für Smartphone- und PC-Nutzer besteht kein Handlungsbedarf – die Lücken betreffen Server, nicht Endgeräte. Spürbar wird die Lage dennoch: Online-Formulare, Terminbuchungen oder Bürgerservices können vorübergehend nicht verfügbar sein. In dringenden Fällen hilft der Griff zum Telefon.

Fazit: Die kurzzeitige Abschaltung von Cottbus.de ist kein Zeichen von Schwäche, sondern verantwortungsvolles Krisenmanagement. Wenn eine Lücke dieser Tragweite öffentlich wird, ist vorübergehende Unerreichbarkeit der deutlich kleinere Schaden.

---

---

(*) Hinweis: Hinter einigen Links stehen Affiliate-Programme. Für Sie bleibt der Preis exakt derselbe, wir erhalten jedoch eine kleine Provision, die wir direkt in unsere kommenden Recherchen investieren. Vielen Dank, dass Sie unsere Arbeit auf diese Weise unterstützen!