Unter dem Namen „PHP2Shell“ (kritische Schwachstellen CVE-2026-109618 und CVE-2026-109619) ist eine schwerwiegende globale Sicherheitslücke im Kern der Programmiersprache PHP aufgetreten. Da PHP schätzungsweise 70 % des gesamten Internets betreibt (inklusive Content-Management-Systemen wie WordPress), ist das Gesundheitswesen massiv von dieser Bedrohung betroffen. Krankenhausleitungen sollten jetzt nicht die IT-Abteilung allein handeln lassen, sondern eine kurze, verbindliche Entscheidungsroutine aktivieren.
Die kritischen PHP-Schwachstellen „php2shell“ (CVE-2026-109618 und CVE-2026-109619) sind für Krankenhäuser mehr als ein technischer Patch-Fall. Sie zeigen, wie schnell eine Schwachstelle in einer scheinbar peripheren Webtechnologie zur Belastungsprobe für Cybersicherheit, Geschäftskontinuität und Führung wird. Die Lücken ermöglichen unter bestimmten Voraussetzungen eine Remote Code Execution ohne Anmeldung: Angreifer könnten Webserver übernehmen, sensible Daten abgreifen oder Systeme als Sprungbrett für weitere Angriffe nutzen. Mehrere Kliniken haben ihre Internetangebote deshalb vorsorglich offline genommen.
Warum das Kliniken trifft
Die unmittelbare Gefahr betrifft zunächst nicht das Klinikinformationssystem, sondern internetexponierte PHP-Anwendungen: Websites, Patienten- und Terminportale, Einweiserzugänge, Karriereseiten, Formulare oder Content-Management-Systeme. Genau dort entstehen jedoch reale Risiken: Datenschutzvorfälle, Reputationsschäden, Ausfälle patientennaher digitaler Services und mögliche lateral movement in interne Netze, wenn Webserver nicht konsequent segmentiert sind.
Kritisch ist zudem die Abhängigkeit von Dienstleistern, Hosting-Partnern und Softwareherstellern. Wer eine Website betreibt, muss nicht nur wissen, ob PHP eingesetzt wird, sondern auch, wer für Patch-Management, Wartung, Protokollierung und Incident Response verantwortlich ist. Die Schwachstelle wurde mit einem CVSS-v4.0-Score von 9,2 eingestuft; Updates stehen für PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 bereit.
Handlungsempfehlungen
Krankenhausleitungen sollten jetzt nicht die IT-Abteilung allein handeln lassen, sondern eine kurze, verbindliche Entscheidungsroutine aktivieren:
- Bestandsaufnahme innerhalb von 24 Stunden: Welche extern erreichbaren Systeme nutzen PHP, welche Anbieter, Versionen und Schnittstellen sind betroffen?
- Patch-Priorisierung: Internetzugängliche Anwendungen und Systeme mit sensiblen Daten zuerst aktualisieren; danach Neustart, Container-Rebuild und Verifikation der tatsächlich laufenden Version.
- Übergangsweise Abschaltung: Nicht patchbare, öffentlich erreichbare PHP-Dienste sollten offline gehen – dokumentiert und mit einer Kommunikationslösung für Patienten, Zuweiser und Mitarbeitende.
- Forensische Prüfung: Logs, ungewöhnliche Anfragen, veränderte Dateien und unerwartete Prozesse auswerten, bevor ein System als sicher gilt.
- Netzsegmentierung prüfen: Webserver dürfen keinen direkten, unbeaufsichtigten Weg in KIS, PACS, Domänen-Netze oder Datenbanken mit Patientendaten besitzen.
- Lieferverträge aktivieren: Hosting- und Softwareanbieter müssen verbindlich bestätigen, ob, wann und wie sie gepatcht haben.
Verantwortlichkeiten klar zuordnen
Die Verantwortung darf nicht bei der IT stehen bleiben. Die Krankenhausleitung trägt die Gesamtverantwortung für Risikosteuerung und Business Continuity; der CIO beziehungsweise IT-Leiter steuert Patch-Management, Monitoring und technische Incident Response. Der Datenschutzbeauftragte bewertet mögliche Betroffenheiten personenbezogener Daten, der Informationssicherheitsbeauftragte koordiniert Meldewege und die Umsetzung des Notfallplans. Fachbereiche, Kommunikation und ggf. Medizincontrolling müssen entscheiden, welche digitalen Services temporär entbehrlich sind und wie der Ersatz aussieht.
PHP-Lücke ist ein Warnsignal
Die PHP-Lücke gefährdet die stationäre Patientenversorgung akut: Krankenhausmanagement und Politik müssen jetzt durch nachhaltige Finanzierungsreformen und effizientes Ressourcenmanagement gegensteuern, um die wirtschaftliche Stabilität der Kliniken langfristig zu sichern. Die PHP-Lücke ist ein Warnsignal: Angriffsfläche entsteht nicht nur im KIS, sondern in jedem vergessenen Webdienst. Krankenhäuser brauchen ein lückenloses Asset-Inventar, vertraglich gesicherte Anbieterverantwortung, regelmäßige Schwachstellen-Tests und einen erprobten Notfallplan. Wer erst im Ernstfall klärt, wem ein Portal gehört, hat Governance bereits verloren.
Autor: Wolf-Dietrich Lorenz
Foto: Adobe Stock / Sashkin