Lagebuch · Unternehmenseintrag
Moderates Risiko·1 dokumentierter Vorfall·zuletzt 21.10.2026·Gefährdungsindex 36/100

Universität Ulm: Cybervorfälle & Chronik

Organisation
Universität Ulm, Baden-Württemberg
Branche / Sektor
Bildung und Forschung
Dokumentierte Vorfälle
1 Erwähnung
Letztes Ereignis
21.10.2026 · Kritische PHP-Lücke: BSI warnt, Behörden offline
Angriffsart / Vektor
Schwachstelle · Exponierter Dienst
Status
Eingedämmt
Stellungnahme
Noch ausstehend

Was passiert ist: Wegen zweier kritischer Speicherfehler im Kern der Skriptsprache PHP („PHP2Shell", CVE-2026-109618 und CVE-2026-109619) warnte das BSI am 21.10.2026 mit Warnstufe 3 (Orange) und empfahl, nicht patchbare Webserver vorübergehend vom Internet zu trennen. Die Universität Ulm gehörte zu den baden-württembergischen Hochschulen, die ihr Webangebot vorsorglich abschalteten; eine Kompromittierung ist für sie nicht berichtet. Am selben Tag stellte das PHP-Projekt Patches bereit, am Abend gingen vielerorts erste Seiten wieder online.

Chronik des Falls

Zeitleiste der Vorfälle & Artikel

Was passiert ist

Am 21.10.2026 warnten BSI, PHP-Projekt und Sicherheitsforscher vor zwei Speicherfehlern im PHP-Kern (CVE-2026-109618 und CVE-2026-109619, CVSS 9,2), die Auslesen von Arbeitsspeicher und Ausführen beliebigen Codes aus der Ferne erlauben. Die Universität Ulm nahm daraufhin gemeinsam mit anderen baden-württembergischen Hochschulen und Kliniken ihr Webangebot vorsorglich offline. Am Nachmittag veröffentlichte das PHP-Projekt Patches; am Abend gingen vielerorts die ersten Seiten wieder online.

Betroffene Technologie und Umgebung

Öffentlich erreichbares Webangebot auf Basis von PHP; die Lücke steckt im Kern der Skriptsprache und betrifft unter anderem PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed. Konkrete Versionen und Hoster der Universität Ulm werden nicht genannt.

Auswirkung

kritische CVEs im PHP-Kern (CVSS 9,2)
2
BSI-Lageeinschätzung "Orange"
Warnstufe 3 von 4
Was wir wissen — und was nicht
  • Am 21.10.2026 nahm die Universität Ulm ihr Webangebot vorsorglich vom Netz, ebenso die Universitäten Heidelberg, Tübingen, Konstanz und Mannheim sowie das KIT.
  • Die Maßnahme erfolgte im Rahmen der baden-württembergischen Reaktion; das Staatsministerium sprach von vorsorglichem Schutz der Infrastruktur bis zum Erscheinen der Sicherheitsupdates.
  • Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 wurden am 21.10.2026 mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben.
  • Bestätigte Kompromittierungen meldeten die Behörden am 21.10.2026 nicht; laut IHK Frankfurt gab es am Nachmittag keine bestätigten erfolgreichen Angriffe.
  • Ob Systeme der Universität Ulm kompromittiert oder angegriffen wurden
  • Eingesetzte PHP-Versionen und Patchstand der Universität Ulm
  • Dauer der Abschaltung und Zeitpunkt der vollständigen Wiederinbetriebnahme
  • Zahl der betroffenen Nutzerinnen und Nutzer des Webangebots
Stellungnahme des UnternehmensNoch ausstehend

Eine Stellungnahme des Unternehmens liegt bislang nicht vor. Sobald eine Stellungnahme hinterlegt ist, erscheint sie hier im Wortlaut. Einträge werden nicht gegen Zahlung entfernt oder verändert.

Stellungnahme hinterlegen

So werden Angaben des Unternehmens gekennzeichnet
Selbsteinschätzung des Unternehmensdurch #derimeter nicht technisch geprüft · Index unverändert bis zur Turnus-Auswertung
Abschlussmaßnahmen & Nachweise geprüftdurch #derimeter Analysten, mit Datum · Index neu bewertet
Trust-Center-Profil · Analysten geprüftLogo und Sicherheits-Porträt im Kopf, Zertifikate-Tresor, Live-Siegel