22/10/2026
Kritische IT-Sicherheitslücken: DFV fordert Kommunen und BOS zur sofortigen Prüfung ihrer Systeme auf
Betroffene Webdienste aktualisieren oder vorübergehend vom Netz nehmen – Notrufversorgung und Einsatzfähigkeit sicherstellen
Berlin – Der Deutsche Feuerwehrverband (DFV) ruft Kommunen, Feuerwehren, Leitstellen sowie Behörden und Organisationen mit Sicherheitsaufgaben (BOS) dazu auf, ihre IT-Systeme unverzüglich auf die kritischen PHP-Sicherheitslücken „PHP2Shell“ überprüfen zu lassen. Betroffene Anwendungen müssen schnellstmöglich durch die verfügbaren Sicherheitsupdates abgesichert werden. Ist dies kurzfristig nicht möglich, empfiehlt der DFV, gefährdete Webdienste vorübergehend vom Internet zu trennen oder kontrolliert außer Betrieb zu nehmen.
Die Sicherheitslücken können es Angreifern ermöglichen, ohne Anmeldung eigenen Programmcode auf betroffenen Servern auszuführen und sensible Informationen auszulesen. Mit einem Schweregrad von 9,2 von 10 gelten sie als kritisch. Da die Fehler in der PHP-Laufzeitumgebung selbst liegen, reicht es nicht aus, lediglich Webseiteninhalte oder einzelne Erweiterungen zu aktualisieren.
Nach Angaben der Entdecker reicht die Betroffenheit bis zu PHP 5.4 zurück. Diese Version erschien im März 2012 und ist damit mehr als 14 Jahre alt. Auch neuere, bislang ungepatchte Installationen sind betroffen. Das Alter der Fehler verdeutlicht ihre lange Vorgeschichte, ist jedoch kein Beleg dafür, dass sie bereits seit damals ausgenutzt wurden.
Der DFV empfiehlt folgende Sofortmaßnahmen:
* Betroffenheit feststellen: IT-Verantwortliche und Dienstleister müssen prüfen, wo PHP eingesetzt wird. Einzubeziehen sind Internetauftritte, Bürgerportale, interne Webanwendungen, Verwaltungsoberflächen und Fremdsysteme. Hosting- und Softwareanbieter sollten die Betroffenheit und den Stand der Absicherung konkret bestätigen.
* Sicherheitsupdates unverzüglich einspielen: Öffentlich erreichbare Anwendungen haben höchste Priorität. Nach der Aktualisierung müssen die tatsächlich eingesetzte PHP-Version und die Funktionsfähigkeit der Dienste überprüft werden. Für veraltete Systeme ist mit dem Anbieter eine unterstützte und abgesicherte Lösung herzustellen.
* Gefährdete Dienste gezielt vom Netz nehmen: Kann eine betroffene Anwendung nicht umgehend aktualisiert werden, sollte ihre öffentliche Erreichbarkeit vorsorglich unterbunden werden. Zusätzliche Schutzfilter können Risiken reduzieren, ersetzen aber keine vollständige Behebung der Schwachstellen.
* Notrufversorgung und Einsatzfähigkeit gewährleisten: Maßnahmen an einsatzkritischen Systemen müssen mit Leitstellenleitung, IT-Betrieb und Herstellern abgestimmt werden. Vor einer erforderlichen Außerbetriebnahme sind technische Abhängigkeiten zu prüfen und geeignete Rückfallebenen oder Ersatzverfahren zu aktivieren. Eine pauschale Abschaltung der Leitstellen-IT wird nicht empfohlen. Notrufannahme, Alarmierung und Einsatzkommunikation müssen sichergestellt bleiben.
* Hinweise auf Angriffe untersuchen: Ungewöhnliche Zugriffe, unerklärliche Systemfehler und Veränderungen an Anwendungen sollten fachkundig geprüft werden. Bei Verdacht auf einen Sicherheitsvorfall sind Beweismittel zu sichern und die zuständigen Stellen zur IT-Vorfallbearbeitung einzubeziehen. Ein Sicherheitsupdate allein beseitigt keine bereits erfolgte Kompromittierung.
* Beschäftigte und Bevölkerung informieren: Bei Einschränkungen digitaler Angebote sind sichere alternative Kontaktwege bekannt zu machen. Beschäftigte und Partnerorganisationen müssen über betroffene Dienste und geltende Ersatzverfahren informiert werden.
Die Experten des DFV Andreas Fick und Dr. Alexander Beck appellieren an die Verantwortlichen, die Prüfung und Absicherung mit höchster Priorität zu veranlassen. Ziel ist, Angriffswege schnell zu schließen, sensible Daten zu schützen und die Handlungsfähigkeit der Gefahrenabwehr jederzeit aufrechtzuerhalten.
