PHP2Shell: Warum die PHP-Lücke auch Ihren Router betrifft

Am Dienstagabend sickerten die ersten Details durch, am Mittwochmorgen schalteten Städte und Unternehmen vorsorglich ihre Websites ab. Der Grund heißt PHP2Shell. Das sind zwei schwere Sicherheitslücken in PHP, einer Programmiersprache, auf der ein großer Teil aller Websites läuft. Was viele dabei übersehen: PHP steckt nicht nur in Webservern. Es steckt auch in Geräten, die in fast jedem Büro stehen. In Routern, in Netzwerkspeichern und in manchen Firewalls.

In diesem Beitrag erklären wir, was hinter PHP2Shell steckt, welche Geräte in Ihrem Betrieb betroffen sein können und warum Kunden mit unserer Managed Firewall an dieser Stelle entspannt bleiben können.

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei Fehler im Kern von PHP. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und wurden mit 9,2 von 10 möglichen Punkten bewertet. Das ist die zweithöchste Kategorie.

Das Gefährliche daran: Ein Angreifer braucht weder ein Passwort noch ein Benutzerkonto. Eine präparierte Anfrage aus dem Internet kann reichen, um eigene Befehle auf dem betroffenen Gerät auszuführen. Wer das schafft, kann Daten abgreifen, Schadsoftware ablegen oder das Gerät als Sprungbrett ins Firmennetz nutzen.

Betroffen sind praktisch alle PHP-Versionen der letzten Jahre. Das PHP-Projekt hat am 21. Oktober 2026 Updates veröffentlicht. Für ältere Versionen ab PHP 8.1 abwärts gibt es kein offizielles Update mehr.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Warnstufe Orange ausgerufen, die zweithöchste Stufe. Wer nicht sofort aktualisieren kann, soll laut BSI sogar in Erwägung ziehen, betroffene Systeme vorübergehend vom Internet zu trennen. Inzwischen laufen bereits Angriffe.

Warum Router, NAS und Firewalls betroffen sein können

Wenn Sie Ihren Router oder Ihr NAS im Browser einrichten, sehen Sie eine Verwaltungsoberfläche. Bei vielen Geräten läuft diese Oberfläche mit PHP. Damit steckt die Lücke mitten im Gerät, das eigentlich Ihr Netzwerk schützen oder Ihre Daten speichern soll.

In den aktuellen Hinweisen von Sicherheitsbehörden und Fachpresse werden unter anderem diese Geräte als möglicherweise betroffen genannt:

• Netzwerkspeicher (NAS) von Synology und QNAP
• Router von DrayTek, ZyXEL, D-Link, TP-Link, Netgear und Tenda
• Firewalls auf Basis von pfSense und OPNsense

Ob ein bestimmtes Modell wirklich angreifbar ist, hängt von der Firmware und den Einstellungen ab. Manche Hersteller prüfen das noch. Klar ist aber: Ein Update für den Webserver Ihrer Website erreicht das PHP im Router nicht. Hier muss der Hersteller eine neue Firmware liefern, und jemand muss sie einspielen.

Genau das ist in vielen kleinen Betrieben das Problem. Der Router hängt seit Jahren im Technikraum, das NAS wurde einmal eingerichtet und dann vergessen. Niemand weiß, welche Firmware darauf läuft, und niemand bekommt mit, wenn der Hersteller eine Warnung herausgibt.

Unsere Managed Firewalls sind nicht betroffen

Für unsere Kunden mit Managed Firewall haben wir die Lage direkt am ersten Tag geprüft. Das Ergebnis: Die Firewalls, die wir einsetzen und betreuen, sind von PHP2Shell nicht betroffen. Der Hersteller hat uns am 22. Oktober 2026 offiziell bestätigt, dass in seinen Firewalls kein PHP verwendet wird. Wo kein PHP läuft, gibt es für PHP2Shell schlicht keinen Angriffspunkt.

Dazu kommt, wie wir die Geräte betreiben:

• Keine offene Verwaltung im Internet. [Bitte prüfen:] Die Verwaltungsoberfläche Ihrer Firewall ist bei uns nicht aus dem Internet erreichbar. Selbst eine Lücke in der Oberfläche wäre damit von außen nur schwer auszunutzen.
• Updates kommen von uns. Sicherheitsupdates für die Firewall spielen wir geplant ein. Sie müssen sich nicht darum kümmern und keine Herstellerseiten im Blick behalten.
• Wir lesen mit. Wenn ein Hersteller eine Sicherheitswarnung veröffentlicht, sehen wir das und reagieren. Sie hören dann von uns, nicht erst aus der Zeitung.

Das ist der Unterschied zwischen einer Firewall, die einfach da ist, und einer, um die sich jemand kümmert. Mehr dazu finden Sie auf unserer Seite zu Managed Security.

Was Sie jetzt prüfen sollten

Auch wenn Ihre Firewall sicher ist, kann PHP2Shell an anderer Stelle in Ihrem Betrieb ein Thema sein. Gehen Sie diese Punkte einmal durch:

1. Website und Onlineshop: Läuft Ihre Seite mit WordPress, Joomla, Shopware oder einem anderen PHP-System, fragen Sie Ihren Hoster oder Ihre Agentur, ob das PHP-Update eingespielt ist.
2. NAS im Büro: Schauen Sie in der Verwaltungsoberfläche nach einem Firmware-Update und in die Sicherheitshinweise des Herstellers.
3. Router und Zweitgeräte: Denken Sie auch an den alten Router im Lager, den Zugangspunkt im Gästebereich oder das Gerät am Zweitstandort.
4. Zugang von außen: Ist die Verwaltung eines dieser Geräte aus dem Internet erreichbar, sollte das abgeschaltet werden. Das gilt auch unabhängig von PHP2Shell.
5. Spuren prüfen: Ein Update schließt die Lücke, entfernt aber keine Hintertür, die vorher eingerichtet wurde. War ein Gerät ungeschützt erreichbar, lohnt ein genauer Blick.

Wenn Sie bei einem dieser Punkte unsicher sind, ist das kein Grund zur Panik. Es ist aber ein guter Grund, jemanden draufschauen zu lassen.

Fazit

PHP2Shell zeigt einmal mehr, dass Sicherheitslücken nicht nur Websites betreffen. Sie treffen genau die Geräte, an die im Alltag niemand denkt. Unsere Managed Firewalls sind nicht betroffen, und unsere Kunden mussten nichts unternehmen. Für alle anderen Geräte im Netz gilt: Wer nicht weiß, was im Betrieb läuft und auf welchem Stand es ist, kann im Ernstfall nicht schnell reagieren.

Sie wollen wissen, wie es um Ihre Geräte steht?

Wir prüfen Router, NAS und Firewall in Ihrem Betrieb und sagen Ihnen verständlich, wo Handlungsbedarf besteht. Am einfachsten starten Sie mit unserem kostenlosen IT-Sicherheits-Check. Oder rufen Sie uns an unter 06322 92450. Wir melden uns innerhalb von 24 Stunden.

Kostenlosen IT-Sicherheits-Check anfragen · Kontakt aufnehmen