Was passiert ist

Am Mittwoch, 21. Oktober 2026, hat NotuBiz, die Plattform, über die niederländische öffentliche Stellen offizielle Informationen mit Mitgliedern von Gemeinderäten und Provinzräten teilen, seine Dienste vorsorglich offline genommen. Das Unternehmen erklärt, es habe keine Hinweise auf einen Sicherheitsvorfall gefunden. Rund hundert Gemeinden, Provinzen und Wasserverbände nutzen das System, darunter Den Haag, Almere, Breda, Haarlem, Delft, Overijssel, Gelderland und Friesland. In Fryslân sind es die Provinz, Wetterskip Fryslân sowie die Gemeinden Smallingerland und Súdwest-Fryslân. In der Provinz Utrecht waren die Ratsinformationssysteme von elf Gemeinden, darunter Amersfoort, Zeist und IJsselstein, nicht erreichbar, und NotuBiz weiß noch nicht, wann sie wieder verfügbar sein werden. Auch die Nachrichtenagentur ANP hat ihre eigenen Systeme vorsorglich abgeschaltet.

Zwei kritische Lücken in PHP

CERT-EU, der Cybersicherheitsdienst der Europäischen Union, hat am Mittwochmorgen vor zwei Schwachstellen in PHP gewarnt, die er als kritisch einstuft. Die Lücken erreichen 9,2 von 10 Punkten auf der CVSS-Skala, die misst, wie leicht eine Schwäche auszunutzen ist und wie weit sie reicht. Sie tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619. Die PHP-Maintainer meldeten die beiden Lücken am selben Morgen; sie könnten einem Angreifer aus der Ferne die Kontrolle über einen Server ermöglichen. Berichten zufolge läuft weltweit auf etwa 70 Prozent der Websites PHP oder darauf aufbauende Anwendungen.

Das US-Unternehmen Cloudflare, dessen Firewall viele populäre Websites schützt, meldet erste Angriffe und erklärt, seine Firewall fange Versuche ab, die Lücke auszunutzen. Hacker scheinen einen Weg gefunden zu haben, das Problem zu missbrauchen, bevor ein Patch verfügbar ist. Die Cybersicherheitsfirma Huntress schrieb auf ihrer Website über die Verbreitung von PHP:

„PHP ist überall. Es läuft unsichtbar unter WordPress-, Drupal-, Joomla- und Magento-Seiten.“

Warnungen und das Update um 16 Uhr

Die Existenz der Lücken wurde am Dienstag, 20. Oktober, bekannt, und ein in sozialen Netzwerken kursierendes Video zeigt Berichten zufolge, wie sie sich innerhalb von Sekunden ausnutzen lassen. Der Ethical Hacker Inti De Ceukelaire bezeichnete das Problem als sehr ernst und sagte, er befürchte eine Welle von Hackerangriffen:

„Ich befürchte, das wird ein einziges Desaster.“

Laut De Ceukelaire könnten Angreifer Dateien hinzufügen sowie Quellcode und Sicherheitsschlüssel auslesen, und diese Schlüssel könnten Zugang zu einer Kundendatenbank öffnen. Viele Unternehmen betrieben PHP womöglich noch unwissentlich, auf älteren Blogs oder Websites. Der Ethical Hacker Wouter van Dongen sagte der ANP, die Gefahr bestehe darin, dass Websites übernommen werden oder jemand an alle ihre Daten gelangen kann. Über die ersten Angriffe war er nicht überrascht:

„Hackergruppen geben hier alles.“

Update und Empfehlungen

Das PHP-Sicherheitsteam will sein Update um 16.00 Uhr niederländischer Zeit veröffentlichen und erklärt, es könne früher erscheinen, falls Details zu einer der Lücken öffentlich werden oder sich Hinweise auf eine aktive Ausnutzung finden. CERT-EU drängt Organisationen, sich darauf vorzubereiten, die Updates sofort zu installieren. Organisationen, die nicht rechtzeitig aktualisieren können, sollten erwägen, ihre Websites offline zu nehmen, so die Behörde. Die folgende Grafik zeigt die bislang gemeldeten Zeitpunkte.