Lagebuch · Unternehmenseintrag
Geringes Risiko·1 dokumentierter Vorfall·zuletzt 21.10.2026·Gefährdungsindex 15/100

Karlsruher Institut für Technologie: Cybervorfälle & Chronik

Organisation
Karlsruher Institut für Technologie, Baden-Württemberg
Branche / Sektor
Bildung und Forschung
Dokumentierte Vorfälle
1 Erwähnung
Letztes Ereignis
21.10.2026 · Kritische PHP-Lücke: BSI warnt, Behörden offline
Angriffsart / Vektor
Schwachstelle · Exponierter Dienst
Status
Eingedämmt
Stellungnahme
Noch ausstehend
Größe
über 5.000 Mitarbeitende

Was passiert ist: Am 21.10.2026 warnte das BSI vor zwei kritischen Speicherfehlern im Kern der Programmiersprache PHP (CVE-2026-109618 und CVE-2026-109619, „PHP2Shell"), für die das PHP-Projekt am selben Tag Patches veröffentlichte. Zahlreiche Betreiber nahmen ihre Webangebote vorsorglich vom Netz, darunter in Baden-Württemberg das Karlsruher Institut für Technologie neben mehreren Universitäten und Unikliniken. Eine Kompromittierung des KIT ist nicht berichtet; am Abend gingen vielerorts die ersten Seiten wieder online.

Chronik des Falls

Zeitleiste der Vorfälle & Artikel

Was passiert ist

Wegen zweier kritischer Speicherfehler im PHP-Kern (CVE-2026-109618, CVE-2026-109619) nahm das Karlsruher Institut für Technologie am 21.10.2026 sein Webangebot vorsorglich offline; das BSI hatte die Lage mit Warnstufe 3 („Orange") als außerordentlich hoch eingestuft. Das PHP-Projekt veröffentlichte am selben Tag Patches, am Abend gingen vielerorts die ersten Seiten wieder online. Eine Kompromittierung des KIT ist nicht berichtet.

Betroffene Technologie und Umgebung

Webangebot auf Basis von PHP, das laut BSI in allen Konfigurationen angreifbar war, die Web-Anfragen bedienen (PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP, LiteSpeed); Container- und Hosting-Betrieb erfordert jeweils eigene Patch-Schritte.

Was wir wissen — und was nicht
  • Am 21.10.2026 ging das Webangebot des Karlsruher Instituts für Technologie vorsorglich offline.
  • Anlass waren die PHP-Kernschwachstellen CVE-2026-109618 und CVE-2026-109619 (CVSS 9,2), die das BSI mit Warnstufe 3 („Orange") einstufte.
  • Das PHP-Projekt veröffentlichte am 21.10.2026 Patches in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
  • Bestätigte Kompromittierungen meldeten die Behörden am 21.10.2026 noch nicht; am Abend gingen vielerorts erste Seiten wieder online.
  • Ob Systeme des KIT tatsächlich angegriffen oder kompromittiert wurden
  • Dauer und Umfang des Ausfalls des KIT-Webangebots
  • Ob und wann das KIT gepatchte PHP-Versionen eingespielt hat
  • Ob weitere Dienste des KIT über die Webseiten hinaus betroffen waren
Stellungnahme des UnternehmensNoch ausstehend

Eine Stellungnahme des Unternehmens liegt bislang nicht vor. Sobald eine Stellungnahme hinterlegt ist, erscheint sie hier im Wortlaut. Einträge werden nicht gegen Zahlung entfernt oder verändert.

Stellungnahme hinterlegen

So werden Angaben des Unternehmens gekennzeichnet
Selbsteinschätzung des Unternehmensdurch #derimeter nicht technisch geprüft · Index unverändert bis zur Turnus-Auswertung
Abschlussmaßnahmen & Nachweise geprüftdurch #derimeter Analysten, mit Datum · Index neu bewertet
Trust-Center-Profil · Analysten geprüftLogo und Sicherheits-Porträt im Kopf, Zertifikate-Tresor, Live-Siegel