Berlin – Der Deutsche Feuerwehrverband (DFV) warnt vor zwei kritischen Sicherheitslücken in der Programmiersprache PHP. Sie können auch Webanwendungen von Feuerwehren, Leitstellen und Kommunen betreffen. Der Verband fordert Verantwortliche auf, ihre IT-Systeme umgehend überprüfen und absichern zu lassen. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Warnung herausgegeben.
Symbolbild: Feuerwehr-Magazin | Liedtke
Die unter dem Namen „PHP2Shell“ bekannten Schwachstellen können es Angreifern ermöglichen, ohne vorherige Anmeldung aus der Ferne eigenen Programmcode auf betroffenen Servern auszuführen und sensible Daten auszulesen. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Mit einem Schweregrad von jeweils 9,2 auf einer Skala bis 10 gelten beide als kritisch.
Anzeige
Das BSI stuft die Gefährdung mit der Warnstufe 3 (Orange) als außerordentlich hoch ein und fordert unverzügliche Gegenmaßnahmen. Betroffen sein können zahlreiche Webanwendungen, darunter Internetauftritte, Bürgerportale und Verwaltungsoberflächen. Auch verbreitete Content-Management-Systeme wie WordPress nutzen PHP.
Sicherheitsupdates stehen zur Verfügung
Die Entwickler von PHP haben am Mittwoch Sicherheitsupdates veröffentlicht. Die Schwachstellen sind in den Versionen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 behoben. Für ältere, nicht mehr regulär unterstützte Versionen müssen Betreiber mit ihren Software- oder Hosting-Anbietern klären, ob entsprechende Sicherheitskorrekturen verfügbar sind.
Da die Fehler in der PHP-Laufzeitumgebung selbst liegen, genügt es nicht, lediglich Webseiteninhalte oder einzelne Erweiterungen zu aktualisieren. Entscheidend ist, dass die tatsächlich eingesetzte PHP-Version abgesichert wird.
Der DFV fordert IT-Verantwortliche und Dienstleister deshalb auf, sämtliche PHP-basierten Anwendungen auf eine mögliche Betroffenheit zu überprüfen. Neben öffentlich erreichbaren Internetseiten sind auch interne Webanwendungen und Systeme externer Anbieter einzubeziehen. Hosting- und Softwareunternehmen sollen den Stand der Absicherung konkret bestätigen.
Lassen sich gefährdete Anwendungen nicht kurzfristig aktualisieren, empfiehlt der Verband, ihre öffentliche Erreichbarkeit vorübergehend zu unterbinden. Auch das BSI rät dazu, betroffene Webserver im Zweifel bis zur Installation der Sicherheitsupdates vom Internet zu trennen. Zusätzliche Schutzmaßnahmen können das Risiko reduzieren, ersetzen jedoch keine vollständige Behebung der Schwachstellen.
PDF-Download: Download: Zappenduster- Vorbereiten auf den Blackout
Zappenduster: Dieses E-Dossier zeigt, wie sich Feuerwehren auf einen länger andauernden Stromausfall vorbereiten können – von Notstrom über Kommunikation bis zur Notrufannahme.
Notruf und Alarmierung müssen gewährleistet bleiben
Besondere Vorsicht ist bei einsatzkritischen IT-Systemen geboten. Der DFV empfiehlt ausdrücklich keine pauschale Abschaltung der Leitstellen-IT. Stattdessen sollen Leitstellenleitung, IT-Betrieb und Hersteller notwendige Maßnahmen gemeinsam abstimmen.
Vor einer Außerbetriebnahme müssen Verantwortliche technische Abhängigkeiten prüfen und gegebenenfalls Ersatzverfahren oder Rückfallebenen aktivieren. Notrufannahme, Alarmierung und Einsatzkommunikation müssen weiterhin funktionieren.
Zudem sollen IT-Verantwortliche ungewöhnliche Zugriffe, Systemfehler und Veränderungen an Anwendungen auf mögliche Angriffe untersuchen. Bei Verdacht auf einen Sicherheitsvorfall sind Beweismittel zu sichern und die zuständigen Fachstellen einzubeziehen. Ein nachträglich installiertes Sicherheitsupdate beseitigt keine bereits erfolgte Kompromittierung.
Kommt es zu Einschränkungen digitaler Angebote, müssen Beschäftigte, Partnerorganisationen und die Bevölkerung über sichere alternative Kontaktwege informiert werden.
Die DFV-Experten Andreas Fick und Dr. Alexander Beck appellieren an die Verantwortlichen, die Überprüfung und Absicherung ihrer Systeme mit höchster Priorität zu veranlassen. Ziel ist es, sensible Daten zu schützen und gleichzeitig die Einsatzfähigkeit der Gefahrenabwehr aufrechtzuerhalten.
