Sicherheitslücke in der Firmware: PHP2Shell bleibt in Firewalls und Industriegeräten gefährlich

Die Gefahr durch PHP2Shell in der Firmware

Die aktuelle Sicherheitslage im Bereich der Netzwerkinfrastruktur ist durch die Schwachstelle PHP2Shell erheblich angespannt. Betroffen sind vor allem Firewalls, Router sowie komplexe Industrieanlagen, in denen die Programmiersprache PHP fest in die Firmware integriert ist. Das grundlegende Problem besteht darin, dass Administratoren in diesen Umgebungen nicht die Freiheit besitzen, die PHP-Komponente eigenständig zu aktualisieren. Sie sind zwingend darauf angewiesen, dass der jeweilige Gerätehersteller ein entsprechendes Firmware-Update bereitstellt. Diese Abhängigkeit schafft ein gefährliches Zeitfenster, das von Angreifern gezielt ausgenutzt wird. Ein prominentes Beispiel für die reale Bedrohung ereignete sich am 24. Oktober 2026, als eine IT-Umgebung mit Verbindungen zur US-Regierung attackiert wurde. Der Angriff erfolgte lediglich drei Tage nach der Veröffentlichung der offiziellen PHP-Patches. Die Verzögerung zwischen dem Bekanntwerden der Lücke und der Verfügbarkeit eines funktionierenden Hersteller-Fixes bietet Hackern genügend Zeit, um verwundbare Systeme zu identifizieren und zu kompromittieren, was die Sicherheit ganzer Unternehmensnetzwerke und kritischer Infrastrukturen massiv gefährdet.

Details zum Angriff und den betroffenen Systemen

Die Analyse der Vorfälle zeigt eine hochgradig organisierte Vorgehensweise der Angreifer. Laut Erkenntnissen von Dream wurden über die Suchmaschine Fofa etwa 19.000 Geräte weltweit identifiziert. Nach einer Filterung nach Version und geografischer Lage blieben 240 Ziele in den USA, Japan, Taiwan und Südkorea im Fokus. Die Angreifer hatten zuvor die Firmware der Geräte entschlüsselt, um die darin verborgenen PHP-Bibliotheken exakt zu analysieren. Durch die Kombination von PHP2Shell und der Linux-Kernel-Schwachstelle Fragnesia (CVE-2026-46300) gelang es den Tätern, Root-Rechte auf 24 Firewalls und einem Verwaltungsserver zu erlangen. Besonders kritisch ist die Situation bei Palo Alto Networks: Die betroffenen PAN-OS-Firewalls erhielten erste Hotfixes erst einen Tag nach dem Angriff, wobei es weitere vier Tage dauerte, bis alle unterstützten Versionszweige vollständig versorgt waren. Die Analyse ergab zudem, dass auf PAN-OS 12.1 und 12.2 die veraltete PHP-Version 8.0.30 und auf PAN-OS 11.1 sogar PHP 7.4.33 eingesetzt wurden. Da das PHP-Projekt für diese Versionen keine offiziellen Updates mehr bereitstellt, müssen Hersteller die Korrekturen selbst portieren, was wertvolle Zeit kostet.

Hintergrund der Schwachstellen-Problematik

Die Problematik rund um PHP2Shell ist kein isoliertes Ereignis, sondern ein systemisches Risiko in der modernen IT-Landschaft. Viele Hersteller von Appliances und Industriegeräten integrieren PHP als feste Komponente in ihre Betriebssysteme, um Weboberflächen oder API-Schnittstellen bereitzustellen. Wenn eine Sicherheitslücke im Kern von PHP entdeckt wird, reicht es nicht aus, lediglich die PHP-Umgebung zu patchen. Der Hersteller muss die gesamte Firmware-Umgebung neu kompilieren, testen und an die Kunden ausrollen. Da das PHP-Projekt selbst nur noch minimale Korrekturen für ältere Zweige wie 7.4, 8.0 und 8.1 zum Selbstkompilieren anbietet, liegt die gesamte Last der Wartung bei den Geräteherstellern. Diese sind oft mit der Komplexität der Integration überfordert oder benötigen für die Qualitätssicherung der Firmware-Updates mehrere Tage oder Wochen. In dieser Zeit bleiben die Geräte für Angriffe offen, die gezielt auf die Weboberflächen oder XML-APIs abzielen, sofern diese aus dem Internet erreichbar sind. Die US-Behörde Cisa hat die beiden PHP-Lücken bereits am 26. Oktober 2026 offiziell in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen, was die Dringlichkeit der Lage unterstreicht.

Die Akteure und betroffene Institutionen

Die Liste der betroffenen Akteure ist lang und umfasst sowohl Hersteller als auch Anwender und staatliche Aufsichtsbehörden. Das niederländische Cybersicherheitszentrum (NCSC-NL) führt eine umfassende Liste auf GitHub, die mit Stand vom 2. November 2026 bereits 930 Produkte umfasst. Davon sind 215 als verwundbar und 167 als bereits behoben markiert, während bei 240 weiteren die Betroffenheit noch von der spezifischen Konfiguration abhängt. Zu den betroffenen Unternehmen zählen unter anderem Palo Alto Networks, Siemens und Cisco. Siemens beispielsweise verweist für das Industriegerät Ruggedcom APE1808 auf die entsprechenden Updates von Palo Alto. Cisco hat Sicherheitshinweise für Produkte wie das Duo Access Gateway und Expressway veröffentlicht. Auch Sophos reagierte, indem das Unternehmen sein Lizenzportal für ältere UTM-Geräte vom Netz nahm, da dieses auf einer verwundbaren PHP-Version basierte. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Administratoren ausdrücklich, die NCSC-NL-Liste zur Überprüfung der eigenen Infrastruktur heranzuziehen, da eine Vielzahl von Routern, Load Balancern und industriellen Steuerungskomponenten potenziell gefährdet ist.

Einordnung der Sicherheitslage

Einzuordnen ist die aktuelle Situation als ein kritisches Defizit in der Lieferketten-Sicherheit von IT-Produkten. Die Tatsache, dass Sicherheitsupdates von der internen Entwicklungskapazität der Hersteller abhängen, schafft eine gefährliche Lücke zwischen der Bekanntgabe einer Schwachstelle und der tatsächlichen Absicherung der Systeme. Den Berichten zufolge täuscht die Versionsnummer in den Bannern der Weboberflächen oft über den tatsächlichen Sicherheitszustand hinweg. Da Linux-Distributionen und Hersteller Sicherheitsfixes oft in ihre eigenen Pakete integrieren, ohne die PHP-Versionsnummer zu ändern, sind automatisierte Sicherheitsscans häufig wirkungslos. Ein Server kann trotz eines installierten Patches weiterhin eine alte Versionsnummer melden. Dies bedeutet, dass Administratoren sich nicht auf externe Scans verlassen dürfen, sondern eine präzise Bestandsliste führen müssen. Die Sicherheit hängt in diesem Fall nicht von der Erkennung durch Scanner ab, sondern von der disziplinierten Überprüfung der Hersteller-Sicherheitshinweise. Die Abhängigkeit von proprietärer Firmware macht die Absicherung zu einer manuellen und zeitintensiven Aufgabe, die in vielen Unternehmen kaum in der erforderlichen Geschwindigkeit geleistet werden kann.

Offene Fragen zur Bedrohungslage

Obwohl die technische Natur der PHP2Shell-Lücke weitgehend geklärt ist, bleiben zahlreiche Fragen offen, die für Administratoren von entscheidender Bedeutung sind. Es ist beispielsweise unklar, wie viele der 930 in der NCSC-NL-Liste aufgeführten Produkte tatsächlich bereits aktiv angegriffen wurden, da viele Vorfälle möglicherweise unentdeckt bleiben. Zudem beantwortet der Quelltext nicht, wie Unternehmen verfahren sollen, deren Hersteller keine Updates mehr für ältere, aber noch im Einsatz befindliche Geräte bereitstellen. Die Frage, welche spezifischen Kompensationsmaßnahmen in einer industriellen Umgebung ohne Firmware-Update wirklich effektiv vor einer Ausnutzung schützen, bleibt weitgehend unbeantwortet. Ebenso unklar ist, inwieweit die Angreifer bereits weitere, bisher nicht dokumentierte Schwachstellen in den entschlüsselten Firmwares gefunden haben könnten. Die Lücke zwischen der theoretischen Verwundbarkeit und der tatsächlichen Ausnutzung in spezifischen, isolierten Industrienetzwerken lässt sich anhand der vorliegenden Informationen nicht präzise quantifizieren, was die Risikobewertung für IT-Verantwortliche erheblich erschwert.

Wie es mit der Sicherheit weitergeht

Die kommenden Wochen werden für Administratoren geprägt sein von einer intensiven Überprüfung ihrer IT-Landschaft. Der erste Schritt besteht darin, jedes Gerät mit einer Weboberfläche gegen die NCSC-NL-Liste und die spezifischen Sicherheitshinweise der jeweiligen Hersteller abzugleichen. Da Cisco für bestimmte Produkte wie die Unified Industrial Wireless Software bereits Updates für November 2026 angekündigt hat, müssen Administratoren die Veröffentlichungszyklen der Hersteller engmaschig verfolgen. Für Produkte, die nicht in den offiziellen Listen geführt werden, wird empfohlen, direkt beim Hersteller nachzufragen, anstatt auf eine allgemeine Meldung zu warten. Die Cisa-Einstufung als aktiv ausgenutzte Schwachstelle wird dazu führen, dass Sicherheitsbehörden weltweit den Druck auf Hersteller erhöhen, ihre Firmware-Updates schneller bereitzustellen. Langfristig wird die Diskussion darüber, wie PHP in eingebetteten Systemen sicherer verwaltet werden kann, ohne die Abhängigkeit von monolithischen Firmware-Updates, an Bedeutung gewinnen. Bis dahin bleibt die manuelle Inventarisierung und der Abgleich mit Hersteller-Bulletins die einzige verlässliche Methode, um die Sicherheit der eigenen Netzwerke in diesem kritischen Umfeld zu gewährleisten.