Mettmann – Die Homepage der Kreisstadt Mettmann läuft jetzt mit PHP 8.4.27. Anlass war eine Sicherheitsmeldung zur Programmiersprache PHP. Die Stadt hat daraufhin die technische Basis ihrer Internetseite erneuert, teilte die Stadt Mettmann mit. Zuvor war die Version 8.4.20 im Einsatz, die nun durch eine neuere Version ersetzt wurde.
PHP arbeitet nach Angaben der Stadt im Hintergrund vieler Internetseiten. Die Sprache verarbeitet Anfragen, stellt Inhalte bereit und macht dynamische Funktionen möglich. Bei Lücken wie „PHP2Shell“ könnten Unbefugte unter bestimmten Voraussetzungen technische Abläufe eines Webservers beeinflussen. Im schlimmsten Fall sei es ihnen möglich, eigenen Schadcode auszuführen oder sogar weiterzuverbreiten.
Christian Barra ist für den Betrieb der städtischen Homepage zuständig. Er sagte, bei solchen Meldungen komme es vor allem auf schnelles Handeln an. Die Stadt habe die PHP-Version aktualisiert und den Betrieb auf die neue Version umgestellt. Die Webseite der Kreisstadt verzeichnet durchschnittlich rund 390.000 Aufrufe pro Monat.
Was die Aktualisierung bringt
Solche Updates enthalten laut Mitteilung neben neuen Funktionen auch Fehlerbehebungen und Sicherheitskorrekturen. Welchen Stand eine Installation hat, zeigt erst die genaue Versionsnummer. Für Bürgerinnen und Bürger sei vor allem wichtig, dass die Homepage zuverlässig und sicher erreichbar bleibe, so Barra. Hinter einer Website stünden zahlreiche technische Komponenten, die regelmäßig aktualisiert und kontrolliert werden müssten. Deshalb wolle die Stadt auf Sicherheitsmeldungen schnell reagieren.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte am 21.10.2026 vor kritischen Schwachstellen in PHP. Das BSI weist darauf hin, dass PHP ein zentraler Baustein in Webanwendungen ist und weltweit eingesetzt wird.
Nach Angaben des BSI sind alle bekannten PHP-Versionen verwundbar, zurückgehend bis mindestens PHP 5. Das Amt hielt es zudem für nicht ausgeschlossen, dass Angreifer aus der Ferne schadhaften Code auf Webservern ausführen können.
Das BSI rief IT-Sicherheitsverantwortliche und Betreiber auf, die Sicherheitsupdates umgehend nach Veröffentlichung zu installieren. BSI-Vizepräsident Thomas Caspers hielt eine großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Updates für wahrscheinlich.
Unsere Meinung
Dass die Stadt ihre Umstellung öffentlich macht, ist für Besucher der Homepage eine nützliche Auskunft. Offen bleibt, ob die Seite vor dem Update tatsächlich gefährdet war und wann genau die Umstellung stattfand. Die Mitteilung nennt dazu nichts. Wer die Seite nutzt, muss selbst nichts tun.
