Kort sagt: PHP körs inte bara på webbservrar, utan också i webbgränssnitt på NAS-system, brandväggar och specialenheter eller i webbserverpaket som ni har installerat på en NAS. Om en enhet berörs av PHP2Shell kan bara tillverkaren säga; uppdateringen kommer via firmware. Er uppgift är att hitta de här enheterna, ta bort deras webbgränssnitt från internet och följa tillverkarnas meddelanden.
Varför enheter med webbgränssnitt hör till PHP-frågan
När man talar om PHP2Shell tänker de flesta på företagets webbplats eller webbutiken. Samtidigt finns PHP också i enheter som ingen betraktar som webbserver. De står i serverrummet eller på kontoret, har ett webbgränssnitt för administration och går ofta i flera år utan uppmärksamhet.
Sårbarheterna CVE-2026-109618 och CVE-2026-109619 berör enligt php.net PHP självt i driftlägena PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. Använder en enhets webbgränssnitt något av dessa driftlägen med en sårbar version gäller risken där på samma sätt. Skillnaden: PHP på enheten kan ni som regel inte uppdatera själva.
Att sådana system glöms bort har konkreta skäl. Ofta har en tjänsteleverantör som sedan länge inte längre sköter dem satt upp dem. Firmware-uppdateringar körs inte automatiskt, utan kräver ett klick som ingen gör. Och vissa enheter har bekväma fjärråtkomstfunktioner som gör webbgränssnittet nåbart från internet utan att IT vet om det. Vid en PHP-sårbarhet som PHP2Shell blir den bekvämligheten en risk.
PHP-sårbarhet på NAS och appliances: vilka system som kommer i fråga
Vi nämner här typer av enheter, inget påstående om enskilda modeller. Om en viss firmware berörs står uteslutande i tillverkarens meddelanden.
| Typ av enhet | Hur PHP kommer in i bilden | Vem uppdaterar |
|---|---|---|
| NAS med webbserverpaket | Ni driver egna PHP-webbplatser eller appar på NAS:en | Tillverkaren levererar PHP-paketet, ni installerar det |
| Brandväggs- och routerdistributioner | Delar av administrationsgränssnittet är skrivna i PHP | Tillverkaren via firmware |
| Specialenheter med webbgränssnitt | t.ex. telefonväxlar, tidrapportering, fastighetsteknik, om tillverkaren använder PHP | Tillverkaren eller fackhandlaren |
| Virtuella appliances | förkonfigurerade VM med eget webbgränssnitt | Tillverkaren via uppdateringsimage |
| Containrar på NAS:en | PHP-applikationer i Docker-containrar | Ni, via en ny image |
Två belagda exempel: Synology låter i Web Station driva PHP-webbplatser med valbara PHP-profiler och har aviserat slutet på supporten för PHP 7.3, 7.4 och 8.0 under DSM 7.3. Netgates säkerhetsmeddelanden om pfSense beskriver PHP-filer och PHP-felmeddelanden i webbgränssnittet. Det visar bara att PHP förekommer där, inte att dessa produkter berörs av PHP2Shell.
Inventering: så hittar ni de bortglömda systemen
Det viktigaste steget är en lista. Många företag vet exakt vilka webbplatser de driver, men inte vilka enheter som har ett webbgränssnitt. Hur en varaktig inventering ser ut beskrivs i inlägget Inventering av alla webbplatser och servrar.
- Kartlägg nätverket: Samla enheter ur DHCP-listan, switchens eller brandväggens översikt.
- Markera webbgränssnitt: Anteckna för varje enhet om den administreras via HTTP eller HTTPS.
- Granska frigivningar: Lista portvidarebefordringar och fjärråtkomsttjänster i routern. Varje webbgränssnitt som är nåbart från internet hamnar överst.
- Koppla till tillverkare: Notera modell, firmware-nivå och länk till tillverkarens säkerhetsmeddelanden.
- Fånga egna tjänster: Ta upp webbserverpaket och containrar som är installerade på NAS-system separat.
En första fingervisning går att få med en ofarlig förfrågan om rubrikraderna. Kommandot hämtar bara startsidan och ändrar ingenting:
# Visa serverns rubrikrader för ett webbgränssnitt (adressen som exempel)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Står där en PHP-hänvisning är det ett stöd för bedömningen. Saknas den bevisar det ingenting, eftersom många enheter medvetet undertrycker sådana uppgifter.
Vad ni kan göra när ni inte kan patcha själva
För enheter ligger patchen hos tillverkaren. Nåbarheten ligger hos er, och där finns den största hävstången. BSI (den tyska federala myndigheten för informationssäkerhet) rekommenderar vid PHP2Shell att webbservrar utan uppdatering tillfälligt tas offline; för enheters administrationsgränssnitt gäller det i tillämpliga delar ännu mer.
- Ta bort från internet: Ta bort portvidarebefordringar till webbgränssnitt och tillåt fjärråtkomst bara via VPN.
- Skilj ut förvaltningsnätet: Gör webbgränssnitt nåbara bara från ett eget nätområde för administratörer. Bakgrund finns i inlägget Skärma av administrationsområden.
- Stäng av det som inte används: Inaktivera webbserverpaket eller appar på NAS:en som ingen längre behöver.
- Följ firmware-meddelanden: Aktivera uppdateringsaviseringar och installera uppdateringar snabbt så snart tillverkaren släpper dem.
- Byt ut äldre enheter: Driv inte enheter utan tillverkarsupport nåbara från internet, och planera utbytet.
Driver ni egna PHP-webbplatser på en NAS gäller för dessa webbplatser detsamma som för varje webbserver: kontrollera versionen, uppdatera paketet, starta om tjänsten. Grunderna om sårbarheten förklaras i Vad är PHP2Shell?.
Om en enhet stod öppen mot nätet
Var ett webbgränssnitt nåbart från internet mellan den 17 och den 21 oktober och berörs enheten, bör ni inte bara uppdatera den. Kontrollera om konton, delningar eller vidarebefordringar har ändrats, säkra tillgängliga loggar och ändra inloggningsuppgifterna. En enhet som har haft en angripare i nätet kan fungera som språngbräda till andra system.
Hos brandväggar och routrar är det särskilt känsligt, eftersom de ser hela datatrafiken. Vid tvivel är en återställning till fabriksinställningar med ren nykonfigurering mer tillförlitlig än sökandet efter enskilda spår; loggar och konfiguration bör säkras i förväg.
Hos en NAS tillkommer frågan om data. Där ligger ofta avtal, personalhandlingar eller kunduppgifter. Kunde en angripare komma åt enheten måste ni klargöra om personuppgifter kan vara berörda; då kan en anmälningsskyldighet enligt GDPR finnas. Ta upp det tidigt med ert dataskyddsombud, detta är ingen juridisk rådgivning.
Hur hjälper PHP SOS konkret?
- Ta upp beståndet: Vi kartlägger tillsammans med er alla system med webbgränssnitt, även NAS, appliances och virtuella maskiner.
- Kontrollera nåbarheten: Vi kontrollerar utifrån vilka gränssnitt som är nåbara från internet och föreslår avskärmning. En djupare granskning erbjuder säkerhetsgranskningen med penetrationstest.
- Följa tillverkarläget: Vi kopplar tillverkarnas säkerhetsmeddelanden till era enheter och planerar uppdateringar.
- Klarlägga misstanke: Stod en berörd enhet öppen mot nätet säkrar vi loggar och söker efter spår.
Vanliga frågor
Berörs min NAS av PHP2Shell?
Det kan bara tillverkaren säga bindande för er modell och er firmware. Kontrollera dess säkerhetsmeddelanden och om ni kör PHP-webbplatser på själva NAS:en, till exempel via ett webbserverpaket. Fram till dess bör gränssnittet inte vara nåbart från internet.
Kan jag uppdatera PHP på en NAS eller en brandvägg själv?
Som regel inte. PHP är där en del av firmware eller av ett tillverkarpaket. Uppdateringar kommer via enhetens uppdateringsfunktion. Manuella ingrepp i firmware kan äventyra garantin och stabiliteten.
Räcker det att bara använda webbgränssnittet i det lokala nätet?
Det sänker risken avsevärt men tar inte bort den. En redan komprometterad dator i samma nät kan fortfarande nå gränssnittet. Bättre är ett eget förvaltningsnät eller åtkomst enbart via VPN.
Hur ser jag att en enhet använder PHP?
Ibland avslöjar det serverns header eller ändelsen .php i gränssnittets adresser. Saknas sådana tecken bevisar det ingenting. Tillförlitliga är tillverkarens dokumentation och säkerhetsmeddelanden.