Kurz gesagt: PHP läuft nicht nur auf Webservern, sondern auch in Weboberflächen von NAS-Systemen, Firewalls und Fachgeräten oder in Webserver-Paketen, die Sie auf einem NAS installiert haben. Ob ein Gerät von PHP2Shell betroffen ist, kann nur der Hersteller sagen; das Update kommt über die Firmware. Ihre Aufgabe ist, diese Geräte zu finden, ihre Weboberflächen aus dem Internet zu nehmen und die Herstellermeldungen zu verfolgen.
Warum Geräte mit Weboberfläche zur PHP-Frage gehören
Wenn über PHP2Shell gesprochen wird, denken die meisten an die Firmenwebsite oder den Onlineshop. Dabei steckt PHP auch in Geräten, die niemand als Webserver betrachtet. Sie stehen im Serverraum oder im Büro, haben eine Weboberfläche zur Verwaltung und laufen oft jahrelang ohne Aufmerksamkeit.
Die Lücken CVE-2026-109618 und CVE-2026-109619 betreffen laut php.net PHP selbst in den Betriebsarten PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Nutzt die Weboberfläche eines Geräts eine dieser Betriebsarten mit einer verwundbaren Version, gilt das Risiko dort genauso. Der Unterschied: Sie können PHP auf dem Gerät in der Regel nicht selbst aktualisieren.
Dass solche Systeme vergessen werden, hat handfeste Gründe. Oft hat sie ein Dienstleister eingerichtet, der längst nicht mehr betreut. Firmware-Updates laufen nicht automatisch, sondern verlangen einen Klick, den niemand macht. Und manche Geräte bringen bequeme Fernzugriffsfunktionen mit, die die Weboberfläche ohne Wissen der IT aus dem Internet erreichbar machen. Bei einer PHP-Sicherheitslücke wie PHP2Shell wird aus dieser Bequemlichkeit ein Risiko.
PHP-Sicherheitslücke auf NAS und Appliances: Welche Systeme in Frage kommen
Wir nennen hier Gerätearten, keine Aussage über einzelne Modelle. Ob eine bestimmte Firmware betroffen ist, steht ausschließlich in den Meldungen des Herstellers.
| Geräteart | Wie PHP ins Spiel kommt | Wer aktualisiert |
|---|---|---|
| NAS mit Webserver-Paket | Sie betreiben eigene PHP-Websites oder Apps auf dem NAS | Hersteller liefert das PHP-Paket, Sie spielen es ein |
| Firewall- und Router-Distributionen | Teile der Verwaltungsoberfläche sind in PHP geschrieben | Hersteller über Firmware |
| Fachgeräte mit Weboberfläche | z. B. Telefonanlagen, Zeiterfassung, Gebäudetechnik, sofern der Hersteller PHP nutzt | Hersteller oder Fachhändler |
| Virtuelle Appliances | vorkonfigurierte VMs mit eigener Weboberfläche | Hersteller über Update-Image |
| Container auf dem NAS | PHP-Anwendungen in Docker-Containern | Sie, über ein neues Image |
Zwei belegte Beispiele: Synology lässt in Web Station PHP-Websites mit wählbaren PHP-Profilen betreiben und hat das Ende der Unterstützung für PHP 7.3, 7.4 und 8.0 unter DSM 7.3 angekündigt. Die Sicherheitsmeldungen von Netgate zu pfSense beschreiben PHP-Dateien und PHP-Fehlermeldungen der Weboberfläche. Das zeigt nur, dass PHP dort vorkommt, nicht dass diese Produkte von PHP2Shell betroffen sind.
Inventar: So finden Sie die vergessenen Systeme
Der wichtigste Schritt ist eine Liste. Viele Unternehmen wissen genau, welche Websites sie betreiben, aber nicht, welche Geräte eine Weboberfläche haben. Wie ein dauerhaftes Inventar aussieht, beschreibt der Beitrag Inventar aller Websites und Server.
- Netzwerk erfassen: Geräte aus DHCP-Liste, Switch- oder Firewall-Übersicht zusammentragen.
- Weboberflächen markieren: Bei jedem Gerät notieren, ob es über HTTP oder HTTPS verwaltet wird.
- Freigaben prüfen: Portweiterleitungen und Fernzugriffsdienste im Router auflisten. Jede Weboberfläche, die aus dem Internet erreichbar ist, kommt nach oben.
- Hersteller zuordnen: Modell, Firmware-Stand und Link zu den Sicherheitsmeldungen des Herstellers festhalten.
- Eigene Dienste erfassen: Auf NAS-Systemen installierte Webserver-Pakete und Container gesondert aufführen.
Ein erster Hinweis lässt sich mit einer harmlosen Abfrage der Kopfzeilen gewinnen. Der Befehl ruft nur die Startseite ab und ändert nichts:
# Server-Kopfzeilen einer Weboberfläche anzeigen (Adresse als Beispiel)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Steht dort ein PHP-Hinweis, ist das ein Anhaltspunkt. Fehlt er, beweist das nichts, denn viele Geräte unterdrücken solche Angaben bewusst.
Was Sie tun können, wenn Sie nicht selbst patchen können
Bei Geräten liegt der Patch beim Hersteller. Die Erreichbarkeit liegt bei Ihnen, und genau dort ist der größte Hebel. Das BSI empfiehlt bei PHP2Shell, Webserver ohne Update vorübergehend vom Netz zu nehmen; für Verwaltungsoberflächen von Geräten gilt das sinngemäß erst recht.
- Aus dem Internet nehmen: Portweiterleitungen auf Weboberflächen entfernen und Fernzugriff nur über VPN erlauben.
- Verwaltungsnetz trennen: Weboberflächen nur aus einem eigenen Netzbereich für Administratoren erreichbar machen. Hintergründe dazu im Beitrag Admin-Bereiche abschirmen.
- Ungenutztes abschalten: Webserver-Pakete oder Apps auf dem NAS deaktivieren, die niemand mehr braucht.
- Firmware-Meldungen verfolgen: Update-Benachrichtigungen aktivieren und Updates zeitnah einspielen, sobald der Hersteller sie freigibt.
- Altgeräte ersetzen: Geräte ohne Herstellerunterstützung nicht mehr aus dem Internet erreichbar betreiben und den Austausch planen.
Betreiben Sie auf einem NAS eigene PHP-Websites, gilt für diese Websites dasselbe wie für jeden Webserver: Version prüfen, Paket aktualisieren, Dienst neu starten. Die Grundlagen zur Lücke erklärt Was ist PHP2Shell?.
Wenn ein Gerät offen im Netz stand
War eine Weboberfläche zwischen dem 17. und dem 21. Oktober aus dem Internet erreichbar und ist das Gerät betroffen, sollten Sie es nicht nur aktualisieren. Prüfen Sie, ob Konten, Freigaben oder Weiterleitungen geändert wurden, sichern Sie verfügbare Protokolle und ändern Sie die Zugangsdaten. Ein Gerät, das mit einem Angreifer im Netz war, kann als Sprungbrett zu anderen Systemen dienen.
Bei Firewalls und Routern ist das besonders heikel, weil sie den gesamten Datenverkehr sehen. Im Zweifel ist ein Zurücksetzen auf Werkseinstellungen mit sauberer Neukonfiguration verlässlicher als die Suche nach einzelnen Spuren; vorher sollten Protokolle und Konfiguration gesichert sein.
Bei einem NAS kommt die Frage nach den Daten hinzu. Dort liegen oft Verträge, Personalunterlagen oder Kundendaten. Konnte ein Angreifer auf das Gerät zugreifen, müssen Sie klären, ob personenbezogene Daten betroffen sein können; dann kann eine Meldepflicht nach DSGVO bestehen. Sprechen Sie das früh mit Ihrem Datenschutzbeauftragten ab, dies ist keine Rechtsberatung.
Wie hilft PHP SOS konkret?
- Bestand aufnehmen: Wir erfassen mit Ihnen alle Systeme mit Weboberfläche, auch NAS, Appliances und virtuelle Maschinen.
- Erreichbarkeit prüfen: Wir prüfen von außen, welche Oberflächen aus dem Internet erreichbar sind, und schlagen Abschirmungen vor. Eine tiefere Prüfung bietet der Sicherheitsaudit mit Penetrationstest.
- Herstellerlage verfolgen: Wir ordnen Sicherheitsmeldungen der Hersteller Ihren Geräten zu und planen Updates.
- Verdacht klären: Stand ein betroffenes Gerät offen im Netz, sichern wir Protokolle und prüfen auf Spuren.
Häufige Fragen
Ist mein NAS von PHP2Shell betroffen?
Das kann nur der Hersteller für Ihr Modell und Ihre Firmware verbindlich sagen. Prüfen Sie dessen Sicherheitsmeldungen und ob Sie auf dem NAS selbst PHP-Websites betreiben, etwa über ein Webserver-Paket. Bis zur Klärung sollte die Oberfläche nicht aus dem Internet erreichbar sein.
Kann ich PHP auf einem NAS oder einer Firewall selbst aktualisieren?
In der Regel nicht. PHP ist dort Teil der Firmware oder eines Herstellerpakets. Updates kommen über die Update-Funktion des Geräts. Manuelle Eingriffe in die Firmware können Garantie und Stabilität gefährden.
Reicht es, die Weboberfläche nur im lokalen Netz zu nutzen?
Es senkt das Risiko deutlich, beseitigt es aber nicht. Ein bereits kompromittierter Rechner im selben Netz kann die Oberfläche weiterhin erreichen. Besser ist ein eigenes Verwaltungsnetz oder der Zugriff nur über VPN.
Woran erkenne ich, dass ein Gerät PHP verwendet?
Manchmal verrät es der Server-Header oder die Endung .php in Adressen der Oberfläche. Fehlen solche Hinweise, beweist das nichts. Verlässlich sind Herstellerdokumentation und Sicherheitsmeldungen.