Lagebuch · Unternehmenseintrag
Moderates Risiko·1 dokumentierter Vorfall·zuletzt 21.10.2026·Gefährdungsindex 38/100

Universität Heidelberg: Cybervorfälle & Chronik

Organisation
Universität Heidelberg, Baden-Württemberg
Branche / Sektor
Bildung und Forschung
Dokumentierte Vorfälle
1 Erwähnung
Letztes Ereignis
21.10.2026 · Kritische PHP-Lücke: BSI warnt, Behörden offline
Angriffsart / Vektor
Schwachstelle · Exponierter Dienst
Status
Eingedämmt
Stellungnahme
Noch ausstehend
Größe
über 5.000 Mitarbeitende

Was passiert ist: Das BSI warnte am 21.10.2026 vor zwei kritischen Speicherfehlern im PHP-Kern (CVE-2026-109618, CVE-2026-109619), die beliebige Codeausführung aus der Ferne ermöglichen; die Warnstufe wurde als „Orange" eingestuft. Weil Exploit-Details vorzeitig veröffentlicht wurden, nahm die Universität Heidelberg ihre Webangebote vorsorglich offline, ebenso weitere Hochschulen und Unikliniken in Baden-Württemberg. Die Patches erschienen am 21.10.2026, bestätigte Kompromittierungen wurden zunächst nicht gemeldet.

Chronik des Falls

Zeitleiste der Vorfälle & Artikel

Was passiert ist

Am 21.10.2026 warnte das BSI vor den beiden Speicherfehlern CVE-2026-109618 und CVE-2026-109619 im Kern der Skriptsprache PHP (CVSS 9,2), die Auslesen von Arbeitsspeicher und Ausführen von Code aus der Ferne erlauben. Weil Details eines Exploit-Werkzeugs vorzeitig öffentlich wurden, nahm die Universität Heidelberg gemeinsam mit anderen baden-württembergischen Hochschulen und Unikliniken ihre Webangebote vorsorglich vom Netz. Ein Angriff auf die Einrichtungen wurde nicht bestätigt; der Uniklinikverbund Mannheim-Heidelberg betonte, es handle sich nicht um einen Angriff, die Patientenversorgung sei nicht beeinträchtigt.

Betroffene Technologie und Umgebung

Webangebote auf Basis von PHP, das laut Artikel in PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed zum Einsatz kommt; auch gehostete und containerisierte Installationen sind betroffen.

Auswirkung

Webangebote vorsorglich offline
mehrere Stunden
CVSS-Score der PHP-Lücken
9,2 von 10
Was wir wissen — und was nicht
  • Am 21.10.2026 warnte das BSI vor CVE-2026-109618 und CVE-2026-109619 im PHP-Kern, Warnstufe 3 (Orange), CVSS 9,2.
  • Die Universität Heidelberg nahm am 21.10.2026 ihre Webangebote vorsorglich vom Netz.
  • Die Patches wurden am 21.10.2026 mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht.
  • Bestätigte Kompromittierungen meldeten die Behörden am 21.10.2026 noch nicht.
  • Ob die Schwachstelle an der Universität Heidelberg ausgenutzt wurde
  • Ob und wann die betroffenen Systeme gepatcht wurden
  • Anzahl der betroffenen Systeme an der Universität
  • Dauer des Ausfalls der Webangebote im Einzelnen
Stellungnahme des UnternehmensNoch ausstehend

Eine Stellungnahme des Unternehmens liegt bislang nicht vor. Sobald eine Stellungnahme hinterlegt ist, erscheint sie hier im Wortlaut. Einträge werden nicht gegen Zahlung entfernt oder verändert.

Stellungnahme hinterlegen

So werden Angaben des Unternehmens gekennzeichnet
Selbsteinschätzung des Unternehmensdurch #derimeter nicht technisch geprüft · Index unverändert bis zur Turnus-Auswertung
Abschlussmaßnahmen & Nachweise geprüftdurch #derimeter Analysten, mit Datum · Index neu bewertet
Trust-Center-Profil · Analysten geprüftLogo und Sicherheits-Porträt im Kopf, Zertifikate-Tresor, Live-Siegel