Kritische Sicherheitslücke in der Programmiersprache PHP
Sicherheitslücken in PHP
RUB-Webseiten temporär für externen Zugriff gesperrt
Aufgrund einer Sicherheitslücke in PHP wurden die RUB-Webseiten am 21. Oktober vorsorglich für den externen Zugriff gesperrt. Die zentralen und nahezu alle dezentralen Systeme laufen nun wieder wie gewohnt.
Update vom 28.10.2026, 15.50 Uhr
Die zentralen und nahezu alle dezentralen Systeme wurden gepatcht und laufen wieder wie gewohnt.
Update vom 22.10.2026, 16.10 Uhr
Information für Admins dezentraler Systeme: Dezentrale Systeme werden nicht automatisch wieder freigegeben. Admins oder Betreiber solcher Systeme müssen zunächst melden, dass die Systeme gepatcht wurden oder nicht betroffen waren – auch dann, wenn sie auf Servern laufen, die von IT.Services gehostet werden.
Das Formular für diese Meldung wird im Lauf des Nachmittags am 22. Oktober veröffentlicht. Informiert dazu wird über den Netzbetreuer-Element-Chat, die Netzbetreuer-Mailingliste und die Webseite https://www.informationssicherheit.ruhr-uni-bochum.de/is/news/meldung00051.html.de.
Update vom 22.10.2026, 12.30 Uhr
Die Systeme werden nun schrittweise wieder aktiviert.
Update vom 22.10.2026, 11 Uhr
Die ersten zentralen Systeme wurden erfolgreich aktualisiert. Weitere Updates werden derzeit eingespielt. Die Dienste werden jeweils nach Überprüfung freigeschaltet. Admins dezentraler Systeme werden über ein zentral bereitgestelltes Formular ihre aktualisierten oder nicht betroffenen Systeme zur Freischaltung melden können. Sie erhalten dazu direkte Informationen.
Update vom 21.10.2026, 16.40 Uhr
Das PHP-Projekt hat nun erste Patches zum Schließen der Sicherheitslücken verfügbar gemacht; diese werden an der Ruhr-Universität schnellstmöglich installiert.
Ursprüngliche Meldung vom 21.10.2026, 12.36 Uhr
Aufgrund einer kritischen Sicherheitslücke in der Programmiersprache PHP sperren wir temporär die Webseiten im Netz der Ruhr-Universität für externen Zugriff. Diese Maßnahme beginnt heute, 21. Oktober 2026, um 12.30 Uhr bis voraussichtlich morgen, den 22. Oktober 2026, 12 Uhr (MESZ).
Der Zugang innerhalb des RUB-Netzes (das heißt am Campus oder mittels einer VPN-Verbindung) ist weiterhin uneingeschränkt möglich. Die Schwachstellen betreffen nicht nur die Ruhr-Universität, sondern sämtliche Web-Anwendungen weltweit, die auf PHP basieren. Sie könnten es Angreifern ermöglichen, Code aus der Ferne auszuführen. Daher ergreift die Ruhr-Universität Bochum vorsorglich Sicherheitsmaßnahmen.
Das PHP-Projekt hat für den 21. Oktober um 16 Uhr ein Patch für die Sicherheitslücken angekündigt, welches an der Ruhr-Universität Bochum umgehend geprüft und eingespielt wird.
Weitere Informationen veröffentlichen wir anlassbezogen unter: https://notfall.ruhr-uni-bochum.de
