Lagebuch · Unternehmenseintrag
Moderates Risiko·1 dokumentierter Vorfall·zuletzt 21.10.2026·Gefährdungsindex 29/100

Universität Konstanz: Cybervorfälle & Chronik

Organisation
Universität Konstanz, Baden-Württemberg
Branche / Sektor
Bildung und Forschung
Dokumentierte Vorfälle
1 Erwähnung
Letztes Ereignis
21.10.2026 · Kritische PHP-Lücke: BSI warnt, Behörden offline
Angriffsart / Vektor
Schwachstelle · Exponierter Dienst
Status
Eingedämmt
Stellungnahme
Noch ausstehend
Größe
1.000–5.000 Mitarbeitende

Was passiert ist: Am 21.10.2026 warnte das BSI vor zwei kritischen Speicherfehlern im Kern der Programmiersprache PHP (CVE-2026-109618 und CVE-2026-109619, CVSS 9,2), nachdem Details eines Exploit-Werkzeugs vorzeitig öffentlich geworden waren. Die Universität Konstanz gehörte zu den baden-württembergischen Einrichtungen, die ihre Webangebote an diesem Tag vorsorglich vom Netz nahmen; am Abend gingen vielerorts die ersten Seiten wieder online. Eine Ausnutzung oder Kompromittierung war laut Bericht vom 21.10.2026 nicht bestätigt.

Chronik des Falls

Zeitleiste der Vorfälle & Artikel

Was passiert ist

Nach der BSI-Warnung vom 21.10.2026 vor zwei kritischen, ferngesteuert ausnutzbaren Speicherfehlern im PHP-Kern nahm die Universität Konstanz ihre Webangebote vorsorglich vom Netz, wie es auch andere Universitäten und Landesbehörden in Baden-Württemberg taten. Am Abend wurden andernorts die ersten Seiten wieder erreichbar. Eine Kompromittierung von Systemen der Universität ist nicht berichtet.

Betroffene Technologie und Umgebung

Webserver mit PHP im Kern (PHP-FPM, mod_php, php-cgi, FrankenPHP oder LiteSpeed), betroffen alle Versionen ab PHP 5.4; die Universität betrieb ihre Webangebote auf dieser Grundlage.

Auswirkung

CVSS-v4.0-Score der PHP-Schwachstellen
9,2
kritische CVEs im PHP-Kern (CVE-2026-109618/-109619)
2
Was wir wissen — und was nicht
  • Am 21.10.2026 warnte das BSI (Warnstufe 3 „Orange“) vor zwei kritischen Speicherfehlern im PHP-Kern, CVE-2026-109618 und CVE-2026-109619, bewertet mit 9,2 von 10 nach CVSS v4.0.
  • Die Universität Konstanz nahm am 21.10.2026 ihre Webangebote vorsorglich vom Netz, ebenso die Universitäten Heidelberg, Tübingen, Ulm und Mannheim sowie KIT, DHBW Mosbach, Hochschule Biberach und HTWG Konstanz.
  • Am Nachmittag des 21.10.2026 veröffentlichte das PHP-Projekt Patches in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
  • Bestätigte Kompromittierungen wurden am 21.10.2026 nicht gemeldet; die IHK Frankfurt schrieb, es gebe keine bestätigten Berichte über erfolgreiche Angriffe.
  • Ob Systeme der Universität Konstanz tatsächlich kompromittiert wurden
  • Anzahl der betroffenen Systeme an der Universität Konstanz
  • Patchstand und Zeitpunkt der Wiederinbetriebnahme der Webangebote
  • Umfang des weltweit bereits erfolgten Angriffsverkehrs
Stellungnahme des UnternehmensNoch ausstehend

Eine Stellungnahme des Unternehmens liegt bislang nicht vor. Sobald eine Stellungnahme hinterlegt ist, erscheint sie hier im Wortlaut. Einträge werden nicht gegen Zahlung entfernt oder verändert.

Stellungnahme hinterlegen

So werden Angaben des Unternehmens gekennzeichnet
Selbsteinschätzung des Unternehmensdurch #derimeter nicht technisch geprüft · Index unverändert bis zur Turnus-Auswertung
Abschlussmaßnahmen & Nachweise geprüftdurch #derimeter Analysten, mit Datum · Index neu bewertet
Trust-Center-Profil · Analysten geprüftLogo und Sicherheits-Porträt im Kopf, Zertifikate-Tresor, Live-Siegel