Bund schlägt Alarm: Kantone, Unis und Feuerwehr-Plattform ziehen den Stecker

Der Termin stand eigentlich fest: Am Dienstag kündigte das PHP-Team ein Sicherheitsupdate für Mittwoch, 21. Oktober, um 16 Uhr Schweizer Zeit an. Es behielt sich vor, früher zu veröffentlichen, falls vorher Details publik würden. Laut Tages-Anzeiger wurden Details tatsächlich vorzeitig öffentlich, was den Notfall auslöste.

Am Mittwoch zog das Bundesamt für Cybersicherheit (BACS) nach. Der Titel seiner Warnung lässt wenig Spielraum: «Kritische Schwachstellen in PHP: Sicherheitsupdates sofort einspielen». Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619.

Kanton, Unis, Feuerwehren: Wer in der Schweiz vom Netz ging

Beim Kanton Basel-Stadt waren einzelne Informationen und Dienste nicht verfügbar, schreibt Nau.ch. Im Tessin hat der Kanton demnach einige Online-Dienste vorübergehend deaktiviert. Neben der Uni Genf war laut Le Temps auch die Website der Universität Basel abgeschaltet.

Zentralplus berichtet von mehreren Gemeinden, Behörden, Universitäten und Spitälern, die ihre Seiten vorsorglich vom Netz genommen haben.

Bei Lodur, der Plattform, über die viele Schweizer Feuerwehren ihre Verwaltung laufen lassen, kamen Nutzerinnen und Nutzer nicht mehr an gespeicherte Daten und konnten keine Alarmgruppen ändern. Dass die Alarmierung ausgefallen ist, heisst das laut Nau.ch nicht zwingend.

Im Ausland sieht es ähnlich aus. Das Land Baden-Württemberg ging laut FAZ vorsorglich offline, in Frankreich traf es laut Le Temps die Datenschutzbehörde CNIL und Seiten des Innenministeriums. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat ebenfalls eine Warnung herausgegeben.

Warum ein Update allein nicht reicht

Korrigiert sind die Lücken in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für ältere PHP-Versionen braucht es laut BACS ebenfalls eine Lösung. Nach dem Update sollen Betreiber die PHP-Dienste und dauerhaft laufenden Prozesse neu starten.

Wer schon angegriffen wurde, ist mit dem Update nicht aus dem Schneider: Eine bereits erfolgte Kompromittierung beseitigt es nicht, hält das BACS fest. Bei kritischen Anwendungen sollen Betreiber prüfen, ob sie diese vorübergehend vom Internet trennen oder ausser Betrieb nehmen müssen.

Die US-Cybersicherheitsbehörde CISA geht weiter. Wer nicht sofort aktualisieren kann oder PHP 8.1 und älter einsetzt, soll PHP-basierte Systeme bis zum Update vom Netz nehmen. Eine Ausnutzung der Lücken hatte die CISA bei Veröffentlichung ihrer Warnung nicht beobachtet.

Schwierig ist oft schon die Suche. PHP steckt laut BACS nicht nur in Webservern, sondern auch in Verwaltungsoberflächen, internen Fachanwendungen, Hosting-Plattformen, Containern und Appliances. Und nicht jeder Betreiber weiss, dass sein Produkt im Hintergrund PHP verwendet.