Behörden warnten am Mittwoch, dem 21. Oktober 2026, in ungewöhnlich großer Breite vor den kritischen PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619. Unter dem Namen php2shell veröffentlichten die PHP-Entwickler dazu eine dringende Sicherheitsmitteilung. Die Dimension der Warnungen wurde mit Heartbleed und Shellshock in Bash verglichen.

Das Bundesamt für Sicherheit in der Informationstechnik, BSI, empfahl, betroffene Webseiten bis zum Eintreffen aktualisierter Pakete vom Netz zu nehmen. Die US-Behörde CISA schloss sich dieser Einschätzung an. Reuters berichtete von abgeschalteten Regierungsseiten in Dänemark und Finnland. Frankreich und die Niederlande waren demnach ebenfalls betroffen. In Deutschland nahm die Charité ihre komplette Webseite offline. Bei berlin.de wurden Teile abgeschaltet, die Freie Universität Berlin begrenzte ihre IT-Dienste. Die Internetwache der Berliner Polizei war laut dpa nicht erreichbar. Auch Behörden- und Polizeiseiten in Bayern und Niedersachsen fielen aus. Nach Angaben des NDR waren erste Seiten im Norden wieder verfügbar.

Sicherheitsexperten beobachteten seit Mittwoch eine große Zahl von Exploit-Versuchen. Cloudflare meldete Reuters zufolge Millionen Angriffe, die etwa zehn Stunden vor der Veröffentlichung der Details um 16:00 Uhr begonnen hatten. Amazon sprach von einer breiten Ausnutzung im Internet. Das Threat-Intelligence-Team des Unternehmens hatte Versuche nach eigenen Angaben bereits vier Tage vor der öffentlichen Bekanntgabe gesehen. Wie die Angreifer an Exploit-Informationen gelangten, ist Amazon nicht bekannt. Möglich ist ein Zusammenhang mit einer anderen File-Upload-Schwachstelle. Erfolgreiche Kompromittierungen waren zum Veröffentlichungszeitpunkt nicht bestätigt.

Aktualisierte Pakete erschienen am Mittwochabend nach und nach. Debian stellte sie nach 21:00 Uhr bereit. Fedora und Gentoo folgten noch am selben Abend, ebenso Ubuntu und Red Hat. Slackware veröffentlichte seine Pakete kurz vor dem Bericht, SUSE erst kurz zuvor. Administratoren sollten verfügbare Updates zügig installieren und prüfen, ob PHP unbemerkt auf ihren Systemen läuft. Auf Raspberry Pi und anderen Einplatinencomputern kann PHP als Abhängigkeit von Software für kleine Server installiert werden. Der Bericht hält es für möglich, dass das Abschalten von Webseiten häufiger zur Abwehrmaßnahme wird, falls KI-gestützte Suche künftig weitere gravierende Schwachstellen hervorbringt.