Lagebuch · Unternehmenseintrag
Geringes Risiko·1 dokumentierter Vorfall·zuletzt 21.10.2026·Gefährdungsindex 16/100

Universitätsklinikum Frankfurt: Cybervorfälle & Chronik

Organisation
Universitätsklinikum Frankfurt, Hessen
Branche / Sektor
Gesundheitswesen
Dokumentierte Vorfälle
1 Erwähnung
Letztes Ereignis
21.10.2026 · Kritische PHP-Lücke: BSI warnt, Behörden offline
Angriffsart / Vektor
Schwachstelle
Status
Eingedämmt
Stellungnahme
Noch ausstehend
Größe
über 5.000 Mitarbeitende

Was passiert ist: Das BSI warnte am 21.10.2026 vor zwei kritischen Speicherfehlern im Kern der Skriptsprache PHP und stufte die Lage mit Warnstufe 3 (Orange) als außerordentlich hoch ein. Zahlreiche Betreiber nahmen daraufhin ihre Webangebote vorsorglich vom Netz, darunter in Hessen das Landesportal und die Universitätskliniken Frankfurt und Marburg-Gießen. Bestätigte Kompromittierungen wurden am 21.10.2026 nicht gemeldet; am Abend gingen vielerorts die ersten Seiten wieder online.

Chronik des Falls

Zeitleiste der Vorfälle & Artikel

Was passiert ist

Am 21.10.2026 nahm das Universitätsklinikum Frankfurt seine Webangebote vorsorglich vom Netz, nachdem das BSI vor zwei kritischen Speicherfehlern in der Skriptsprache PHP (CVE-2026-109618 und CVE-2026-109619, CVSS 9,2) gewarnt hatte. Die Lücken erlauben laut Bericht das Auslesen von Arbeitsspeicher und das Ausführen beliebigen Codes aus der Ferne; die Patches wurden am selben Tag veröffentlicht. Ein Angriff auf das Klinikum oder eine Kompromittierung wurde nicht gemeldet.

Betroffene Technologie und Umgebung

Webangebote auf Basis der Skriptsprache PHP; die Schwachstellen betreffen laut Bericht alle Installationen, die Web-Anfragen bedienen, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.

Auswirkung

kritische Schwachstellen (CVE-2026-109618, CVE-2026-109619)
2
CVSS-v4.0-Bewertung des PHP-Sicherheitsteams
9,2 von 10
BSI-Lageeinstufung „Orange“
Warnstufe 3 von 4
Was wir wissen — und was nicht
  • Das Universitätsklinikum Frankfurt nahm am 21.10.2026 seine Webangebote vorsorglich vom Netz.
  • Grund waren zwei kritische Speicherfehler in PHP, die das PHP-Projekt am 21.10.2026 mit den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 patc
  • Das BSI stufte die Lage am 21.10.2026 mit Warnstufe 3 („Orange“) als außerordentlich hoch ein.
  • Bestätigte Kompromittierungen wurden am 21.10.2026 nicht gemeldet; die IHK Frankfurt schrieb am Nachmittag, es gebe keine bestätigten Berich
  • Dauer der Abschaltung der Webangebote des Klinikums
  • Ob Systeme des Klinikums kompromittiert wurden
  • Patchstand der betroffenen Systeme
  • Umfang der betroffenen Systeme und Dienste
Stellungnahme des UnternehmensNoch ausstehend

Eine Stellungnahme des Unternehmens liegt bislang nicht vor. Sobald eine Stellungnahme hinterlegt ist, erscheint sie hier im Wortlaut. Einträge werden nicht gegen Zahlung entfernt oder verändert.

Stellungnahme hinterlegen

So werden Angaben des Unternehmens gekennzeichnet
Selbsteinschätzung des Unternehmensdurch #derimeter nicht technisch geprüft · Index unverändert bis zur Turnus-Auswertung
Abschlussmaßnahmen & Nachweise geprüftdurch #derimeter Analysten, mit Datum · Index neu bewertet
Trust-Center-Profil · Analysten geprüftLogo und Sicherheits-Porträt im Kopf, Zertifikate-Tresor, Live-Siegel