Nach PHP-Warnung sind Stadtseiten in Bautzen und Hoyerswerda offline

Die Internetseiten der Städte Bautzen und Hoyerswerda waren am Donnerstagvormittag nicht erreichbar. Das ergab eine eigene Prüfung von knapp 40 Webseiten aus der Region. Bei Bautzen kam keine Verbindung zustande. Hoyerswerda zeigt eine Wartungsseite, die Website werde derzeit gewartet und sei „vorübergehend nicht erreichbar“. Einen Grund nennen beide Städte nicht, auch nicht auf ihren Facebook-Seiten. Ob die Ausfälle mit den PHP-Lücken zusammenhängen, vor denen das Bundesamt für Sicherheit in der Informationstechnik (BSI) seit Mittwoch warnt, ist damit offen.

Was das BSI zu den Lücken in PHP sagt

PHP ist eine Programmiersprache, auf der ein großer Teil aller Webseiten läuft, etwa Seiten mit WordPress, Typo3, Joomla oder Drupal. Über zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 können Angreifer nach Angaben des BSI aus der Ferne Schadcode auf einem Server ausführen, ohne sich anmelden zu müssen. Die Behörde bewertet die Lücken mit 9,2 von 10 Punkten. Bestätigte Angriffe seien bisher nicht bekannt, es gebe aber unbestätigte Berichte über Werkzeuge, mit denen sich die Lücken ausnutzen lassen. Die Warnung steht auf bsi.bund.de.

Die PHP-Entwickler haben am Mittwochnachmittag die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht, die beide Lücken schließen. Auf php.net heißt es, es gebe keine vollständigen Umgehungen, das Update sei der einzige sichere Weg. Ältere Versionen, die schon länger keine Sicherheitsupdates mehr bekommen, bleiben ohne Korrektur.

Dresden schaltet ab, Dynamo schränkt seine Seite ein

Die Stadt Dresden hat ihren Internetauftritt und alle weiteren städtischen Seiten nach Angaben der Deutschen Presse-Agentur vorsorglich abgeschaltet. Sie sollten voraussichtlich bis Donnerstag nicht erreichbar sein, vereinbarte Termine in den Ämtern finden statt. Am Donnerstagvormittag war dresden.de weiterhin nicht aufrufbar. Laut dpa sind auch die Auftritte von Gera und Dessau-Roßlau sowie die Seite des Harzklinikums offline.

Die SG Dynamo Dresden teilte am Mittwochabend auf Facebook mit, ihre Webseite sei wegen der Sicherheitslücken nur eingeschränkt nutzbar. Das Mitgliederforum sei vorsorglich abgeschaltet. Der Verein arbeite mit seinen Dienstleistern an einer Lösung.

Kliniken und Polizei in Bautzen und Görlitz sind erreichbar

Die geprüften Krankenhäuser der Region antworteten am Donnerstagmorgen normal: die Oberlausitz-Kliniken in Bautzen und Bischofswerda, das Städtische Klinikum Görlitz, das St.-Carolus-Krankenhaus in Görlitz, das Klinikum Oberlausitzer Bergland, das Lausitzer Seenland Klinikum in Hoyerswerda, das Kreiskrankenhaus Weißwasser, die Asklepios-ASB-Klinik Radeberg und das Universitätsklinikum Dresden. Erreichbar waren auch die Polizei Sachsen, der Medienservice des Freistaats, die Bundespolizei, die IHK Dresden und die Handwerkskammer Dresden.

Bei den Verwaltungen liefen die Seiten der Landkreise Bautzen und Görlitz sowie der Städte Görlitz, Weißwasser, Zittau, Kamenz, Löbau, Niesky, Bischofswerda und Radeberg. Gleiches gilt für die Hochschule Zittau/Görlitz, die Duale Hochschule Sachsen mit ihrem Standort Bautzen, die TU Dresden und die HTW Dresden. Von den Sportvereinen waren die Lausitzer Füchse, Budissa Bautzen, der FC Oberlausitz Neugersdorf, die Dresdner Eislöwen, der HC Elbflorenz, die Dresden Titans und der Dresdner SC erreichbar.

Erreichbar heißt in Bautzen und Görlitz nicht sicher

Dass eine Seite antwortet, sagt nichts darüber, ob ihr Betreiber das Update schon eingespielt hat. Umgekehrt ist nicht jede Seite, die offline ist, von der Lücke betroffen. Das BSI rät Betreibern, ihre Server sofort zu aktualisieren. Wer das nicht kann, solle sie im Zweifel vom Netz nehmen. Für Besucher von Webseiten besteht nach bisherigen Angaben kein direkter Handlungsbedarf, denn die Lücke sitzt auf den Servern, nicht auf Handys oder Computern. Folgen können sie trotzdem spüren, wenn Dienste ausfallen oder Daten aus ungeschützten Seiten abfließen.

Red./Presseinformation