PHP2Shell legt Ungarn lahm – Schwere Sicherheitslücke in Programmiersprache PHP legt Staatsservice auf Eis

Ein Sicherheitsloch in einer zentralen Web‑Technologie zwingt in mehreren europäischen Ländern staatliche Portale in die Offline‑Pause. Ungarn schaltet sein zentrales Verwaltungsportal für 48 Stunden ab. Auch der Pester Lloyd war betroffen.

Budapest/Internet. In der Nacht zum Donnerstag wurde es still auf magyarorszag.hu. Wo sonst Steuererklärungen, Meldebestätigungen oder Wohnsitznachweise per Klick erledigt werden, erschien nur noch der Hinweis auf eine „vorübergehende Abschaltung“. Der Auslöser sind zwei als PHP2Shell bezeichnete kritische Sicherheitslücken in der weit verbreiteten Web‑Technologie PHP, die viele Webserver angreifbar machen – und nun Ungarns digitale Verwaltung zu einer unbeabsichtigten Übung in analoger Geduld zwingen.

Der zuständige Minister für Wissenschaft und Technologie, Zoltán Tanács, erklärte laut MTI auf seiner Facebook‑Seite, man habe magyarorszag.hu und „einige weitere Regierungswebseiten“ vorsorglich vom Netz genommen, weil die Schwachstelle mehrere Länder betrifft. Angriffsspuren gebe es keine, betonte er, doch die Abwicklung von Behördengängen über das Portal werde für „voraussichtlich 48 Stunden“ ausgesetzt. Die zentrale Online‑Terminvergabe der Behörden (Központi Időpontfoglaló Alkalmazás) ist ebenfalls betroffen; eine vollständige Liste der außer Betrieb genommenen Dienste legt die Regierung bislang nicht vor.

Ein Loch im Fundament

Konkret handelt es sich um zwei Schwachstellen im PHP‑Interpreter (CVE‑2026‑109618 und ‑109619), die mit der Bezeichnung PHP2Shell in Verbindung gebracht werden. PHP ist das Arbeitstier des Netzes, das laut Ministerium weltweit auf rund 70 Prozent aller Webseiten zum Einsatz kommt. Auch Pesterlloyd.net läuft über WordPress – und damit basierend auf PHP. Das ungarische Nationale Institut für Cybersicherheit (Nemzeti Kibervédelmi Intézet, NKI), zugleich CERT‑Hungary, spricht von zwei kritischen Fehlern mit einem CVSS‑Wert von 9,2 und bezeichnet sie als „kritische Schwachstellen“. Sie ermöglichen „unauthentifizierte Remote‑Code‑Ausführung“, also das Einschleusen und Ausführen fremden Programmcodes ohne Anmeldung – die schweste mögliche Sicherheitslücke.

Internationale Fachstellen weisen darauf hin, dass bestimmte PHP‑Konfigurationen besonders exponiert sind und Angriffe bereits auf der Ebene der Laufzeitumgebung möglich werden, bevor eigens geschriebener Anwendungscode ausgeführt wird. Das NKI empfahl die umgehende Aktualisierung betroffener PHP‑Installationen sowie, wo das nicht möglich ist, das vorübergehende Abschalten exponierter Dienste und das Härten der Webserverkonfiguration.

Genau diesen Weg geht Budapest nun: Wo gepatcht werden kann, sollen die Aktualisierungen sofort eingespielt werden, andernorts bleiben betroffene Dienste vorerst offline.

Ungarn im europäischen Vergleich

Ungarn steht mit dieser Reaktion nicht allein. In den Niederlanden nahm die Regierung am 21. Oktober zentrale Portale wie Overheid.nl und MijnOverheid offline, in Finnland stoppte der staatliche IT‑Dienstleister Valtori laut internationalem Outage‑Tracker zeitweise die öffentlich erreichbaren Regierungswebsites. Internationale Berichte zu Frankreich nennen die kompletten Webangebote des Innenministeriums, Dänemark schaltete eine landesweite Schulplattform ab, das Europäische Patentamt stellte seine Online‑Portale ein.

CERT‑EU veröffentlichte seine Sicherheitswarnung am 21. Oktober, am selben Tag erschienen die ersten PHP‑Updates. Mehrere Regierungen vollzogen die Abschaltung noch am selben Tag. Ungarn entschied sich laut Telex und NKI am Morgen des 22. Oktober zur zweitägigen Pause für magyarorszag.hu und verbundene Dienste – damit innerhalb des ersten vollen Tages nach Bekanntwerden der Lücke.

Vom Gewicht der Maßnahme her spielt das Land in der oberen Liga. Magyarorszag.hu ist die zentrale Schnittstelle für Bürgerinnen und Unternehmen, über die ein Großteil der digitalen Behördengänge läuft. Die von Tanács angekündigten 48 Stunden Offline‑Zeit liegen über der in einem Outage‑Tracker vermerkten Ausfallzeit für Finnland von rund 18 Stunden; das Europäische Patentamt meldete seine Systeme noch am gleichen Tag wieder im Betrieb.

Schwachstelle: Kommunikation

Ungarische Behörden informieren bislang nur eingeschränkt über den eigenen Zustand. Weder das Ministerium noch das NKI führen öffentlich auf, welche konkreten Verwaltungs‑ oder Registersysteme auf verwundbaren PHP‑Versionen laufen. Das Fachinstitut spricht allgemein von „mehreren voneinander unabhängigen Systemen“, die PHP nutzen, verzichtet aber auf eine Auflistung. Konkrete Angaben zu Angriffen oder Schadensfällen gibt es bislang nicht.

Zur tatsächlichen Reichweite der Abschaltung existieren ebenfalls nur Bruchstücke. Sicher ist, dass magyarorszag.hu und die zentrale Terminplattform nicht erreichbar sind. Für andere E‑Government‑Dienste, die auf diese Portale aufsetzen oder über sie authentifiziert werden, liegen bisher keine amtlichen Detailangaben vor. Weder das Ministerium noch internationale Agenturen nennen Zahlen zu ausgefallenen Transaktionen, geplatzten Terminen oder betroffenen Nutzern.

In den öffentlichen Mitteilungen anderer europäischer Akteure – etwa der niederländischen Regierung oder des Europäischen Patentamts – werden konkrete Portale und teils auch die ungefähre Dauer der Abschaltungen benannt. Ungarns Kommunikation konzentriert sich bislang vor allem auf das zentrale Portal.

Robustheit auf dem Prüfstand

Die aktuelle Störung wirkt als Belastungstest für die digitale Staatsarchitektur. Offizielle Strategiepapiere gibt es eigentlich reichlich. Die Nationale Cyber‑Sicherheitsstrategie 2025–2030 und die „National Digitalisation Strategy 2022–2030“ nennen Modernisierung der Infrastruktur, stärkere Sicherheit staatlicher Netze und den Ausbau digitaler Verwaltungs- und Cloud‑Dienste als zentrale Ziele. Die 2020 gegründete Agentur Digitális Magyarország Ügynökség soll Rechenzentren bündeln, Bausteine standardisieren und die digitale Staatsbürgerschaft tragen.

Die nun beschlossenen 48 Stunden Dunkelzeit auf der zentralen Verwaltungsplattform zeigen, wie verwundbar ein stark zentralisiertes Modell im Störungsfall bleibt. Eine belastbare, von der Schwachstelle isolierte Ausweichumgebung, die einen nahtlosen Failover oder zumindest eine reduzierte, aber erreichbare Variante für wichtige Registerdienste erlaubt, ist aus den verfügbaren Informationen nicht erkennbar. Der Ernst der PHP2Shell‑Lücke erklärt die Vorsicht, macht aber zugleich sichtbar, wie stark sich viele Abläufe auf ein einziges Portal stützen.

Auch finanziell bleibt vieles unscharf. Ungarn hat in den vergangenen Jahren zahlreiche Digital‑ und Sicherheitsvorhaben stark aus EU‑Mitteln kofinanziert; ENISA weist in einer aktuellen Untersuchung aus, dass ein erheblicher Teil der ungarischen NIS‑Investitionen aus EU‑Mitteln kofinanziert wird. Konkrete nationale Budgets nur für die Härtung der Staats‑IT veröffentlicht Budapest nicht gesondert – wer nach einer klaren Zahl für Cyber‑Resilienz im Haushalt sucht, findet sie im öffentlich zugänglichen Material nicht ausgewiesen.

Lehrstück

PHP2Shell ist ein globales Problem. Ungarn reagiert im Rahmen der Empfehlungen von NKI, CERT‑EU und internationalen Fachstellen: Patches einspielen, wo möglich, Dienste offline nehmen, wo nicht, Logs prüfen und Systeme härten. Dass das zentrale Portal für 48 Stunden vom Netz geht, soll Bürger‑ und Unternehmensdaten besser schützen, als den Betrieb im Modus „Business as usual“ fortzuführen – zumal der Minister erklärt, aus Vorsicht zu handeln und keine Angriffe erkannt zu haben.

Die Schwachstellen direkt in PHP wurden mithilfe von AI gefunden – und stellen in dieser Größenordnung durchaus ein Novum dar. Vergleichbare Sicherheitslücken kann man historisch an einer Hand abzählen: SSH-Heartbleed, Log4Shell, EternalBlue, Meltdown & Spectre.

Der Pester Lloyd hat sein System erfolgreich in der vergangenen Nacht gepatcht – wie weit verbreitet die Lücke wirklich war, zeigte sich an den überlasteten Downloadservern des PHP-Patches: ein Download der normalerweise Sekunden veranschlagt, hatte mehrere Minungen in Anspruch genommen.

Quellen: MTI, telex.hu, nki.gov.hu
Photo: Logo der PHP2Shell Remote Code Execution Vulnerability

Neu · Jeden Freitag als PDF

Der Pester Lloyd als Wochenzeitung – wie früher am Kiosk, nur digital

Ausgabe 12.–18. Oktober 2026, 17 Seiten im großen Zeitungsformat. Darin unter anderem:

• Schachecke: Evergreen, Joghurt, Zeitnot: Gewinnzüge im Detail• Polyák an der Schaltstelle – Was sich in Ungarns Medienaufsicht ändert

Zeitung ansehen – 2,50 €

In eigener Sache – Ihr Kauf unterstützt unabhängigen Journalismus ohne Paywall.