← Alle Unternehmen
Lagebuch · Unternehmensprofil

Land Hessen

Branche Öffentliche HandSitz HessenGröße über 5.000 MitarbeitendeStatus EingedämmtErwähnungen 1

Am 21.10.2026 warnte das BSI vor zwei kritischen Speicherfehlern in PHP (CVE-2026-109618, CVE-2026-109619, CVSS 9,2) und stufte die Lage mit Warnstufe 3 (Orange) als außerordentlich hoch ein; Patches erschienen am Nachmittag. Das Land Hessen schaltete daraufhin sein Landesportal hessen.de sowie die Seiten der Ministerien und nachgeordneten Bereiche vorsorglich für mehrere Stunden ab, ebenso zahlreiche Kommunen, Hochschulen und Kliniken in mehreren Bundesländern. Bestätigte Kompromittierungen wurden am 21.10.2026 nicht gemeldet.

Diese Übersicht fasst mehrere Unternehmen zusammen: Land Hessen, Universitätsklinikum Frankfurt
GefährdungseinschätzungStand 21.10.2026
35von 100
Moderates Risiko
Art der betroffenen Daten0/4
Reichweite2/4
Ausnutzung und Folgemissbrauch1/4
Stand der Eindämmung2/4
Kenntnisstand3/4
0
Keine Vorfälle dokumentiertOhne dokumentierte Vorfälle vergibt die Redaktion keinen Gefährdungsindex.
Redaktionelle Einschätzung der Gefahr für Betroffene aus fünf Kriterien zum Vorfall — keine Prüfung der Systeme und kein Urteil über das Unternehmen.
Wie der Wert entstehtFünf Kriterien, eine Formel, vier Stufen. Die Methodik erklärt Schritt für Schritt, wie die Redaktion den Gefährdungsindex ermittelt — mit Rechenbeispiel.Zur Methodik →
#derimeter Security Rating

Wie wir das Land Hessen bewerten

Security RatingBewertung liegt vor
Security RatingBewertung liegt vor
A+sehr stark
Astark
Bsolide
Cangreifbar
Dgefährdet
Ekritisch
Exposition·
Reaktionsfähigkeit·
Transparenz·
Historie·
Exposition·
Reaktionsfähigkeit·
Transparenz·
Historie·
Das Security Rating ist die Einschätzung der #derimeter Redaktion auf einer Skala von A+ bis E — vergleichbar mit einem Bonitätsrating, aber für Cybersicherheit. Es beruht auf öffentlich dokumentierten Vorfällen und Reaktionen, nicht auf einer Prüfung der Systeme. Unternehmen können eine Stellungnahme hinterlegen; sie fließt in die Bewertung ein.

Wie wir das Land Hessen bewerten, erfahren Sie als Mitglied im #derimeter Netzwerk.

Mehr erfahren Bereits Mitglied? Hier einloggen!
#derimeterSecurity RatingIhr Ratingnoch offen

Zeigen Sie, wie sicher Sie wirklich sind.

Ihre Kunden fragen. Ihre Ausschreibungen fragen. Ein #derimeter Security Rating antwortet — unabhängig, begründet, von einer Redaktion, die nichts verkauft. Wer gut dasteht, hat jetzt den Beleg dafür.

KostenlosGespräch statt FragebogenErgebnis vorab, mit BegründungNicht käuflich
Rating anfragenIn vier Wochen zum Rating.

Was passiert ist

Am 21.10.2026 warnten BSI und PHP-Projekt vor zwei kritischen Speicherfehlern im Kern der Skriptsprache PHP (CVE-2026-109618, CVE-2026-109619, CVSS 9,2), die ohne Anmeldung das Auslesen von Arbeitsspeicher und das Ausführen beliebigen Codes aus der Ferne erlauben. Das Land Hessen nahm daraufhin das Landesportal hessen.de sowie die Seiten der Ministerien und der nachgeordneten Bereiche im „Hessen-Web" für mehrere Stunden vorsorglich vom Netz; am Abend gingen vielerorts die ersten Seiten wieder online.

Betroffene Technologie und Umgebung

PHP-basierte Webangebote im „Hessen-Web" – Landesportal hessen.de, Seiten der Ministerien und nachgeordneter Bereiche. Die Lücken betreffen alle PHP-Installationen, die Web-Anfragen bedienen (PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP, LiteSpeed).

Auswirkung

Landesportal und Ministeriumsseiten offlineüber Stunden
CVSS-Score der Lücken9,2 von 10
BSI-Einstufung der LageWarnstufe 3 von 4

Chronik der Berichterstattung

21.10.2026
Kritische PHP-Lücke: BSI warnt, Behörden offline
Einordnung#derimeter

Stellungnahme des Unternehmens

Eine Stellungnahme des Unternehmens liegt bislang nicht vor.