2026-10-21 10:39: Maßnahme im Zusammenhang mit der kritischen Schwachstelle PHP (CVE-2026-109618 und CVE-2026-109619)
Warum Sie diese Seite sehen:
Die Universität Freiburg hat wie derzeit zahlreiche andere Universitäten und Organisationen reagiert und PHP-basierte Systeme vom Netz genommen, so auch die zentralen Webseiten der Universität.
Dies ist eine Reaktion aufgrund einer kurzfristig bekannt gewordenen Sicherheitslücken in der weit verbreiteten Programmiersprache PHP. Wir müssen am heutigen Mittwoch, 21. Oktober 2026, vorsorglich verschiedene Websites und zentrale Dienste der Universität Freiburg abschalten, um unsere IT-Systeme und Daten zu schützen. Verschiedene Angebote werden daher vorübergehend nicht erreichbar sein.
Die Sicherheitslücken betreffen grundsätzlich alle Einrichtungen und Organisationen weltweit, die PHP-basierte Systeme einsetzen. Die PHP Foundation hat für heute Nachmittag Sicherheitsupdates angekündigt, mit denen die Schwachstellen behoben werden sollen. Sobald diese verfügbar sind, wird das Rechenzentrum der Universität die Updates einspielen und die Dienste überprüfen. Admins von dezentralen Systemen aller Institute und Einrichtungen sind angehalten, sich ebenfalls um die Aktualisierung der von Ihnen betreuten Systeme zu kümmern.
Die Lücke wirde von den PHP-Autoren selbst als hoch kritisch eingestuft (CVSS 9.2). Die Schwachstellen erlauben einem entfernten Angreifer die Ausführung von beliebigem Code (Remote Code Execution, RCE). Technische Details sind bisher noch nicht bekannt, und erst für den Nachmittag angekündigt.
Auswirkungen:
Ein Team von Expert*innen der Universität beobachtet die Situation fortlaufend und arbeitet daran, die betroffenen Angebote schnellstmöglich wieder sicher bereitzustellen, sobald entsprechende Patches zur Verfügung stehen.
Folgende Dienste sind aktuell betroffen:
- Websites, die mit WordPress des Website-Relaunchs betrieben werden
- Alle Webseiten, die auf sonstigen Webservern des Rechenzentrums liegen
- Dienste, die einen Login über MyLogin erfordern, wie etwa das Intranet
- Lernplattform ILIAS
- Zugriff auf die Webmail studentische Mailadressen (da MyLogin nicht verfügbar)
- Dienste der Universitätsbibliothek
Weitere Systeme sind betroffen, sofern sie PHP einsetzen.
Inzwischen wurden auch Patches für das Betriebssystem Open Suse ausgeliefert, so dass weitere zentrale Systeme wieder in Betrieb genommen wurden.
Folgende zentrale Systeme stehen damit auch wieder zur Verfürgung:
- MyLogin (Authentifizierungssystem für mehrere Dienste)
- von MyLogin abhängige Systeme: ILIAS für die grundständige Lehre, medical, Zugriff Weboberfläche des studentischen Maildienstes der GWDG, bwSync&Share, Intranet, bwSync&Share
Weitere Systeme befinden sich noch in Prüfung und werden zeitnah noch folgen.
Handlungsempfehlungen
Wir bitten alle dezentralen Administratoren, ihre eigenen PHP-Systeme ebenfalls mit den bereitgestellten Update zu versorgen und dies noch vorsorglich bis morgen Vormittag noch offline zu belassen (Dienste sollten für Dritte nicht mehr erreichbar sein).
- Prüfen Sie, ob und wo Sie PHP-basierte Dienste einsetzen, ob für Ihre Serverdistribution bereits Patches verfügbar sind.
- Testen und installieren Sie Sicherheitsupdates sobald verfügbar.
- Solange keine Patches verfügbar sind: Schränken Sie weiterhin die Zugriffsmöglichkeiten ein oder - soweit möglich - schalten Sie entsprechende Server ab, bis Sicherheitsupdates bereitstehen.
Aktuelle Informationen zu den Updates finden sich unter https://www.php.net/archive/2026.php#2026-10-20-1
Wir werden die Seite um weitere Informationen ergänzen, sobald Sie uns vorliegen.
Ihr RZ-Team