Lagebuch · Unternehmenseintrag
Geringes Risiko·1 dokumentierter Vorfall·zuletzt 21.10.2026·Gefährdungsindex 16/100

Universität Tübingen: Cybervorfälle & Chronik

Organisation
Universität Tübingen, Baden-Württemberg
Branche / Sektor
Bildung und Forschung
Dokumentierte Vorfälle
1 Erwähnung
Letztes Ereignis
21.10.2026 · Kritische PHP-Lücke: BSI warnt, Behörden offline
Angriffsart / Vektor
Schwachstelle · Exponierter Dienst
Status
Eingedämmt
Stellungnahme
Noch ausstehend
Größe
über 5.000 Mitarbeitende

Was passiert ist: Wegen der kritischen PHP-Speicherfehler CVE-2026-109618 und CVE-2026-109619 (CVSS 9,2), vor denen das BSI am 21.10.2026 mit Warnstufe 3 (Orange) warnte, nahm die Universität Tübingen ihr Webangebot vorsorglich für mehrere Stunden vom Netz. Sie steht in einer Reihe baden-württembergischer Hochschulen und Kliniken, die nach dem vorzeitigen Bekanntwerden von Exploit-Details so verfuhren; am Abend gingen vielerorts erste Seiten wieder online. Bestätigte Kompromittierungen wurden zunächst nicht gemeldet.

Chronik des Falls

Zeitleiste der Vorfälle & Artikel

Was passiert ist

Nach der BSI-Warnung vom 21.10.2026 vor zwei kritischen Speicherfehlern im PHP-Kern (CVE-2026-109618, CVE-2026-109619) schaltete die Universität Tübingen ihre Website vorsorglich ab. Die Lücken erlauben laut Entdeckern das Auslesen von Arbeitsspeicher und das Ausführen beliebigen Codes ohne Anmeldung; Patches erschienen am 21.10.2026. Ein Angriff auf die Universität oder eine Kompromittierung ihrer Systeme ist nicht belegt.

Betroffene Technologie und Umgebung

PHP-basierte Webangebote; verwundbar sind Web-Server-Konfigurationen wie PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed, auch in Containern und Shared-Hosting-Umgebungen.

Auswirkung

CVSS-v4.0-Bewertung der PHP-Lücke
9,2 von 10
BSI-Lageeinstufung am 21.10.2026
Warnstufe 3 von 4
Webangebote vorsorglich offline
mehrere Stunden
Was wir wissen — und was nicht
  • Am 21.10.2026 nahm die Universität Tübingen ihre Website vorsorglich vom Netz.
  • Anlass waren die kritischen PHP-Speicherfehler CVE-2026-109618 und CVE-2026-109619 (CVSS 9,2 von 10).
  • Das BSI stufte die Lage am 21.10.2026 mit Warnstufe 3 von 4 („Orange“) als außerordentlich hoch ein.
  • Am Abend des 21.10.2026 gingen vielerorts erste Seiten wieder online; bestätigte Kompromittierungen wurden zunächst nicht gemeldet.
  • Ob Systeme der Universität Tübingen kompromittiert wurden
  • Eingesetzte PHP-Versionen und Anzahl betroffener Systeme in Tübingen
  • Dauer der Abschaltung und Zeitpunkt des Patch-Einspielens in Tübingen
Stellungnahme des UnternehmensNoch ausstehend

Eine Stellungnahme des Unternehmens liegt bislang nicht vor. Sobald eine Stellungnahme hinterlegt ist, erscheint sie hier im Wortlaut. Einträge werden nicht gegen Zahlung entfernt oder verändert.

Stellungnahme hinterlegen

So werden Angaben des Unternehmens gekennzeichnet
Selbsteinschätzung des Unternehmensdurch #derimeter nicht technisch geprüft · Index unverändert bis zur Turnus-Auswertung
Abschlussmaßnahmen & Nachweise geprüftdurch #derimeter Analysten, mit Datum · Index neu bewertet
Trust-Center-Profil · Analysten geprüftLogo und Sicherheits-Porträt im Kopf, Zertifikate-Tresor, Live-Siegel