Münster. Eine weltweite Sicherheitslücke legt zahlreiche Internetangebote in Münster lahm. Die Stadt Münster hat sämtliche städtischen Webseiten vorsorglich abgeschaltet. Auch die Universität und mehrere Krankenhäuser sind betroffen. Hintergrund sind zwei kritische Schwachstellen in der Programmiersprache PHP. Wann alle Angebote wieder erreichbar sind, bleibt offen.
Wegen der PHP-Sicherheitslücke in Münster hat der kommunale IT-Dienstleister citeq vorsorglich externe Verbindungen abgeschaltet. Damit sind sämtliche städtischen Internetseiten derzeit nicht erreichbar. Die Maßnahme soll mögliche Angriffe verhindern. Nach Angaben der Stadt wird die Wiederherstellung mindestens bis Donnerstag, 22. Oktober 2026, dauern. Ein genauer Zeitpunkt steht noch nicht fest. Über die Freischaltung will die Stadt auf ihren Social-Media-Kanälen und durch Pressemitteilungen informieren.
Auch die Universität Münster hat ihre Webdienste für Zugriffe aus dem öffentlichen Internet gesperrt. Innerhalb des Universitätsnetzes und über eine VPN-Verbindung bleiben die Angebote nach Angaben der Hochschule erreichbar. Frühestens am Donnerstag sollen die Dienste schrittweise wieder freigeschaltet werden. Über den aktuellen Stand informiert das Center for Information Technology (CIT).
Auch das Clemenshospital, die Raphaelsklinik und die Alexianer Münster reagieren auf die Sicherheitslücke. Die Einrichtungen bestätigen, dass sie ihre Webservices vorsorglich deaktiviert haben. Betroffen sind unter anderem Online-Formulare, Login-Bereiche und weitere digitale Funktionen. Nach Angaben der Einrichtungen sind bislang keine Daten betroffen. Die Alexianer betonen, dass die Abschaltung eine Sicherheitsmaßnahme und keine Reaktion auf einen bestätigten Cyberangriff ist. Hinweise auf Einschränkungen der medizinischen Versorgung liegen nicht vor.
Zwischenzeitlich waren am Mittwochabend auch Internetangebote der Stadtwerke Münster und des Bistums Münster betroffen. Die Startseite des Bistums war bei einer späteren Überprüfung wieder erreichbar. Beim Universitätsklinikum Münster wurde ebenfalls ein vorübergehender Serverfehler festgestellt. Ob dieser mit der PHP-Sicherheitslücke zusammenhängt, ist bislang nicht bestätigt. Auch landesweit gab es Einschränkungen: Bei der Polizei Nordrhein-Westfalen waren unter anderem die Onlineanzeige und die digitale Versammlungsanzeige zeitweise nicht verfügbar. Der Notruf 110 war nicht betroffen. Am späten Mittwochabend sollen die Onlineangebote wieder funktioniert haben.
Ursache sind zwei schwerwiegende PHP-Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Sie werden unter dem Namen PHP2Shell zusammengefasst und erreichen einen Schweregrad von 9,2 auf der zehnstufigen CVSS-Skala. Unter bestimmten Voraussetzungen könnten Angreifer darüber Schadcode aus der Ferne auf verwundbaren Servern ausführen. Die PHP-Entwickler haben am Mittwoch bereits Sicherheitsupdates veröffentlicht. Für die betroffenen Einrichtungen in Münster kommt es nun darauf an, diese Aktualisierungen einzuspielen und die Systeme zu überprüfen. Die vorsorglichen Abschaltungen sind bislang kein Beleg für einen erfolgreichen Hackerangriff.
Stand: 22. Oktober 2026, kurz nach Mitternacht.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu