Kort sagt: PHP kører ikke kun på webservere, men også i webgrænseflader til NAS-systemer, firewalls og specialenheder eller i webserverpakker, som I har installeret på et NAS. Om en enhed er berørt af PHP2Shell, kan kun producenten sige; opdateringen kommer via firmwaren. Jeres opgave er at finde disse enheder, tage deres webgrænseflader ud af internettet og følge producentens meddelelser.
Hvorfor enheder med webgrænseflade hører med til PHP-spørgsmålet
Når der tales om PHP2Shell, tænker de fleste på virksomhedens website eller onlineshoppen. Men PHP sidder også i enheder, som ingen betragter som webservere. De står i serverrummet eller på kontoret, har en webgrænseflade til administration og kører ofte i årevis uden opmærksomhed.
Sårbarhederne CVE-2026-109618 og CVE-2026-109619 berører ifølge php.net PHP selv i driftsformerne PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. Bruger en enheds webgrænseflade en af disse driftsformer med en sårbar version, gælder risikoen dér lige så meget. Forskellen: I kan som regel ikke selv opdatere PHP på enheden.
At sådanne systemer glemmes, har håndfaste årsager. Ofte har en tjenesteyder sat dem op, som for længst ikke længere servicerer dem. Firmwareopdateringer kører ikke automatisk, men kræver et klik, som ingen foretager. Og nogle enheder medbringer bekvemme fjernadgangsfunktioner, som gør webgrænsefladen tilgængelig fra internettet uden it-afdelingens viden. Ved en PHP-sårbarhed som PHP2Shell bliver denne bekvemmelighed til en risiko.
PHP-sårbarhed på NAS og appliances: Hvilke systemer kommer i betragtning
Vi nævner her enhedstyper, ikke noget om enkelte modeller. Om en bestemt firmware er berørt, står udelukkende i producentens meddelelser.
| Enhedstype | Hvordan PHP kommer ind i billedet | Hvem opdaterer |
|---|---|---|
| NAS med webserverpakke | I driver egne PHP-websites eller apps på NAS'et | Producenten leverer PHP-pakken, I indspiller den |
| Firewall- og routerdistributioner | Dele af administrationsgrænsefladen er skrevet i PHP | Producenten via firmware |
| Specialenheder med webgrænseflade | f.eks. telefonanlæg, tidsregistrering, bygningsteknik, hvis producenten bruger PHP | Producenten eller fagforhandleren |
| Virtuelle appliances | forkonfigurerede VM'er med egen webgrænseflade | Producenten via opdateringsimage |
| Containere på NAS'et | PHP-applikationer i Docker-containere | I, via et nyt image |
To dokumenterede eksempler: Synology lader i Web Station drive PHP-websites med valgbare PHP-profiler og har varslet ophøret af understøttelsen for PHP 7.3, 7.4 og 8.0 under DSM 7.3. Netgates sikkerhedsmeddelelser om pfSense beskriver PHP-filer og PHP-fejlmeddelelser i webgrænsefladen. Det viser kun, at PHP forekommer dér, ikke at disse produkter er berørt af PHP2Shell.
Inventar: Sådan finder I de glemte systemer
Det vigtigste skridt er en liste. Mange virksomheder ved præcis, hvilke websites de driver, men ikke, hvilke enheder der har en webgrænseflade. Hvordan et vedvarende inventar ser ud, beskriver indlægget Inventar over alle websites og servere.
- Registrér netværket: Saml enheder fra DHCP-listen, switch- eller firewalloversigten.
- Markér webgrænseflader: Notér ved hver enhed, om den administreres via HTTP eller HTTPS.
- Kontrollér frigivelser: Opregn portvideresendelser og fjernadgangstjenester i routeren. Enhver webgrænseflade, der kan nås fra internettet, rykker øverst.
- Tilknyt producent: Notér model, firmwarestatus og link til producentens sikkerhedsmeddelelser.
- Registrér egne tjenester: Opfør webserverpakker og containere installeret på NAS-systemer for sig.
Et første fingerpeg kan fås med en harmløs forespørgsel af headerlinjerne. Kommandoen henter kun forsiden og ændrer intet:
# Vis serverens headerlinjer for en webgrænseflade (adressen er et eksempel)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Står der en PHP-henvisning, er det et holdepunkt. Mangler den, beviser det intet, for mange enheder undertrykker bevidst sådanne oplysninger.
Hvad I kan gøre, hvis I ikke selv kan patche
Ved enheder ligger patchen hos producenten. Tilgængeligheden ligger hos jer, og netop dér er den største løftestang. BSI (det tyske forbundsagentur for informationssikkerhed) anbefaler ved PHP2Shell midlertidigt at tage webservere uden opdatering af nettet; for enheders administrationsgrænseflader gælder det i overført betydning endnu mere.
- Tag dem ud af internettet: Fjern portvideresendelser til webgrænseflader, og tillad kun fjernadgang via VPN.
- Adskil administrationsnetværket: Gør kun webgrænseflader tilgængelige fra et eget netværksområde til administratorer. Baggrunden i indlægget Afskærm admin-områder.
- Sluk for det ubrugte: Deaktivér webserverpakker eller apps på NAS'et, som ingen længere har brug for.
- Følg firmwaremeddelelser: Aktivér opdateringsunderretninger, og indspil opdateringer hurtigt, så snart producenten frigiver dem.
- Udskift gamle enheder: Driv ikke længere enheder uden producentstøtte med adgang fra internettet, og planlæg udskiftningen.
Driver I egne PHP-websites på et NAS, gælder det samme for disse websites som for enhver webserver: Kontrollér versionen, opdatér pakken, genstart tjenesten. Grundlaget for sårbarheden forklarer Hvad er PHP2Shell?.
Hvis en enhed stod åben i nettet
Var en webgrænseflade tilgængelig fra internettet mellem den 17. og den 21. oktober, og er enheden berørt, bør I ikke kun opdatere den. Kontrollér, om konti, delinger eller videresendelser er ændret, sikr tilgængelige logs, og skift adgangsdata. En enhed, der har haft en angriber i nettet, kan tjene som springbræt til andre systemer.
Ved firewalls og routere er det særligt ømtåleligt, fordi de ser al datatrafik. I tvivlstilfælde er en nulstilling til fabriksindstillinger med ren nykonfiguration mere pålidelig end søgningen efter enkelte spor; før det bør logs og konfiguration være sikret.
Ved et NAS kommer spørgsmålet om data til. Dér ligger ofte kontrakter, personaledokumenter eller kundedata. Kunne en angriber få adgang til enheden, skal I afklare, om personoplysninger kan være berørt; så kan der bestå en anmeldelsespligt efter GDPR. Tal tidligt med jeres databeskyttelsesrådgiver om det, dette er ikke juridisk rådgivning.
Hvordan hjælper PHP SOS konkret?
- Opgør bestanden: Vi registrerer sammen med jer alle systemer med webgrænseflade, også NAS, appliances og virtuelle maskiner.
- Kontrollér tilgængeligheden: Vi kontrollerer udefra, hvilke grænseflader der kan nås fra internettet, og foreslår afskærmninger. En dybere kontrol tilbyder sikkerhedsaudit med penetrationstest.
- Følg producentens situation: Vi tilknytter producenternes sikkerhedsmeddelelser til jeres enheder og planlægger opdateringer.
- Afklar mistanken: Stod en berørt enhed åben i nettet, sikrer vi logs og undersøger for spor.
Ofte stillede spørgsmål
Er mit NAS berørt af PHP2Shell?
Det kan kun producenten sige bindende for jeres model og jeres firmware. Kontrollér dens sikkerhedsmeddelelser, og om I selv driver PHP-websites på NAS'et, f.eks. via en webserverpakke. Indtil det er afklaret, bør grænsefladen ikke kunne nås fra internettet.
Kan jeg selv opdatere PHP på et NAS eller en firewall?
Som regel ikke. PHP er dér en del af firmwaren eller en producentpakke. Opdateringer kommer via enhedens opdateringsfunktion. Manuelle indgreb i firmwaren kan true garanti og stabilitet.
Er det nok kun at bruge webgrænsefladen i det lokale netværk?
Det sænker risikoen tydeligt, men fjerner den ikke. En allerede kompromitteret computer i samme netværk kan fortsat nå grænsefladen. Bedre er et eget administrationsnetværk eller adgang kun via VPN.
Hvordan kan jeg se, at en enhed bruger PHP?
Nogle gange afslører serverheaderen det, eller endelsen .php i grænsefladens adresser. Mangler sådanne tegn, beviser det intet. Pålidelige er producentens dokumentation og sikkerhedsmeddelelser.