PHP-Sicherheitslücke: Kreis Alzey-Worms nimmt sämtliche Websites vom Netz

Wer am Mittwoch, 21. Oktober 2026, die Website der Kreisverwaltung Alzey-Worms aufrufen wollte, landete auf einer Hinweisseite: „Sicherheit geht vor – Vorübergehend offline“. Wegen einer weltweit entdeckten Sicherheitslücke in der Programmiersprache PHP hat der Landkreis sämtliche Webseiten, Online-Dienste und Portale vorsorglich vom Netz genommen. Neben der Verwaltungsseite sind laut Kreis auch die Seiten des Kreiskrankenhauses, der Schulen und der Wirtschaftsförderungsgesellschaft offline. Grundlage ist eine dringende Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Der Kreis ist damit nicht allein. Nach eigenen Angaben gehen zahlreiche Kommunen in Rheinland-Pfalz denselben Schritt. Auch das Informationstechnikzentrum des Bundes hat von ihm betriebene Internetauftritte, darunter Websites der Bundesregierung, vorsorglich abgeschaltet. Es handele sich ausdrücklich um keinen Hackerangriff, teilte das ITZBund mit.

Hintergrund sind zwei kritische Schwachstellen im Kern von PHP (CVE-2026-109618 und CVE-2026-109619), die in Fachkreisen „PHP2Shell“ genannt werden. Über sie können Angreifer im schlimmsten Fall eigenen Programmcode auf einem Server ausführen. Die Details waren Berichten zufolge bereits am 20. Oktober vorzeitig öffentlich geworden. Am 21. Oktober veröffentlichten die PHP-Entwickler Sicherheitsupdates. Sicherheitsfirmen berichten, dass die Lücken bereits aktiv ausgenutzt werden.

Die Tragweite ist groß: PHP läuft im Hintergrund von fast 80 Prozent aller Websites weltweit. Dazu gehört so gut wie jede Seite, die mit WordPress erstellt wurde, sowie viele Online-Shops, etwa mit WooCommerce, Shopware oder Magento. Damit können auch zahlreiche Websites von Handwerksbetrieben, Praxen, Geschäften und Vereinen in Worms, Alzey und Rheinhessen betroffen sein.

Was Website-Betreiber jetzt tun sollten:

• Beim Hoster oder Dienstleister nachfragen, ob die Website mit PHP läuft und ob das Sicherheitsupdate bereits eingespielt ist. Abgesichert sind die Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer.

Wann die Websites des Kreises Alzey-Worms wieder erreichbar sind, ist noch offen. In dringenden Fällen ist die Verwaltung weiterhin telefonisch und in den Dienststellen erreichbar.