Läuft auf deinem Router oder deiner Firewall PHP? Was PHP2Shell für das Gerät bedeutet

WindowsMacAktualisiert

Netgate, der Hersteller von pfSense, und das OPNsense-Team haben am 21. Oktober 2026, dem Tag, an dem das PHP-Projekt die PHP2Shell-Lücken veröffentlichte, PHP-Updates für ihre Firewall-Software ausgeliefert. Ob ein gewöhnlicher Heimrouter betroffen ist, hängt davon ab, ob sein Hersteller PHP eingebaut hat, und das kann nur der Hersteller sagen.

Kurze Antwort

PHP2Shell betrifft PHP-Installationen, die Webanfragen verarbeiten, und manche Netzwerkgeräte nutzen PHP für ihre Verwaltungsoberfläche. pfSense und OPNsense haben Korrekturen veröffentlicht. Bei jedem anderen Router siehst du auf der Support-Seite des Herstellers nach einem Firmware-Update, hältst die Verwaltungsoberfläche vom Internet fern und spielst Updates ein, sobald sie erscheinen.

Betrifft PHP2Shell meinen Router?

Nur wenn dein Router PHP nutzt, und von außen sehen die meisten Besitzer das nicht. Der PHP-Hinweis sagt, die beiden Lücken, CVE-2026-109618 und CVE-2026-109619, gefährdeten alle PHP-Installationen, die Webanfragen verarbeiten, und könnten Codeausführung aus der Ferne ohne Anmeldung ermöglichen. Einfach gesagt: Jemand könnte eigene Befehle auf dem Gerät ausführen, ohne sich anzumelden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät in seinem IT-Sicherheitshinweis (Version 1.2 vom 22.10.2026) zu prüfen, ob die Lücken auch Firewalls, Router und andere Netzwerkkomponenten betreffen, besonders wenn eine womöglich auf PHP basierende Weboberfläche eingebaut ist. Grundsätzlich, so das BSI, könnten alle internetfähigen Geräte PHP-Bausteine enthalten, und für Hersteller könne es nötig werden, neue Firmware-Versionen mit gepatchtem PHP zu veröffentlichen. Ein Gerät kann also PHP enthalten, ohne dass es auf der Verpackung steht.

Wir nennen auf dieser Seite keine Marke von Heimroutern, weil wir einen Hersteller nur aufführen, wenn sein eigener Hinweis sagt, dass seine Produkte betroffen oder korrigiert sind. Die beiden, die das gesagt haben, stehen unten. Das BSI führt pfSense und OPNsense auch in seiner Liste mindestens teilweise betroffener Produkte.

Was sagt Netgate zu pfSense?

Netgates Beitrag vom 21. Oktober 2026 sagt, die beiden Lücken beträfen pfSense-Installationen. Bedenklich seien sie aber nur, wenn die PHP-Weboberfläche von pfSense, also die Verwaltungsseite, oder der Dienst Captive Portal für mögliche Angreifer erreichbar ist.

Standardmäßig, so Netgate, ist die Verwaltungsseite nur aus dem lokalen Netz erreichbar, nicht aus dem Internet, und Captive Portal ist nicht eingeschaltet. Diese Versionen nennt Netgate als aktualisiert:

  1. pfSense Plus 26.07 und 26.03.1 sowie pfSense CE 2.9.0, jetzt mit PHP 8.5.12.
  2. pfSense CE 2.8.1, jetzt mit PHP 8.3.36.

Über die Weboberfläche lässt sich das Update nicht einspielen. Laut Netgate muss es auf der Kommandozeile laufen, per SSH oder an der Konsole, und der Beitrag nennt die genauen Befehle. Wer die Verwaltungsseite ins Internet geöffnet hat, soll sofort aktualisieren, seine Regeln ändern und die Seite künftig nur noch über sichere Wege wie ein VPN erreichen. Wer Captive Portal nutzt, soll so bald wie möglich aktualisieren. Alle anderen sollen laut Netgate trotzdem aktualisieren, wenn es passt.

Was sagt OPNsense?

Die Ankündigung von OPNsense vom 21. Oktober 2026 nennt Hotfixes mit aktualisiertem PHP: Community Edition 26.7.7 mit PHP 8.5.12, Community Edition 26.1.11 mit PHP 8.3.36 und ein Update für die Business Edition. Die Versionshinweise zu OPNsense 26.7 führen den außerplanmäßigen Hotfix für CVE-2026-109618 und CVE-2026-109619, PHP 8.5.12, unter 26.7.7.

Die Ankündigung empfiehlt dringend, das Update so bald wie möglich einzuspielen. Wer das Captive Portal nutzt, soll den Captive-Portal-Dienst nach der Installation neu starten, damit die Korrekturen greifen.

Was soll ich mit meinem Heimrouter tun?

Behandle ihn wie jedes Gerät, dessen Software du nicht selbst prüfen kannst. Das BSI hat dafür einen kompakten Wegweiser „Router einrichten“ mit acht Tipps. Laut BSI können die Begriffe je nach Routermodell und Firmware-Version leicht abweichen, die genaue Anleitung steht im Benutzerhandbuch deines Routers.

  1. Finde Hersteller und Modell deines Routers heraus und öffne die Support-Seite des Herstellers für dieses Modell.
  2. Such nach einem Sicherheitshinweis oder einem Firmware-Update. Das BSI rät, die Firmware aktuell zu halten, weil Updates bekannte Sicherheitslücken schließen, und, wenn möglich, automatische Updates einzuschalten.
  3. Spiel jedes Firmware-Update ein, das der Hersteller anbietet.
  4. Schalte den Fernzugriff ab, wenn du ihn nicht brauchst. Laut BSI können Extrafunktionen wie der Fernzugriff ein Einfallstor für Angreifer sein. Viele Router lassen sich auch von außerhalb des Heimnetzes konfigurieren, und das BSI rät, diese Funktion zu deaktivieren, falls du sie nicht benötigst.
  5. Schalte UPnP ab, wenn du es nicht brauchst. Warum, erklärt unser Ratgeber UPnP und Portfreigaben deaktivieren.
  6. Ändere das Standard-Passwort der Router-Oberfläche. Laut BSI kennen und nutzen auch Angreifer Standard-Passwörter wie „admin“.

Hast du zu Hause auch ein NAS, gibt es eigene Hinweise von Synology und QNAP. Was sie sagen, steht in Synology und QNAP: die PHP-Sicherheitslücke auf dem NAS.

Zur Ausnutzung, Stand 23. Oktober 2026: Das BSI schreibt, ihm sei noch keine erfolgreiche Ausnutzung in der Breite bekannt, Berichte über Ausnutzungsversuche zeigten aber, dass Angriffe versucht werden, auch automatisiert.

Weitere Fragen

Gibt es eine Liste der Produkte, die von PHP2Shell betroffen sind?

Das BSI verweist auf ein Verzeichnis von Softwareprodukten mit einer womöglich betroffenen PHP-Abhängigkeit, das das niederländische NCSC-NL auf GitHub führt. Laut BSI ist die Liste im Aufbau und wird laufend aktualisiert, sie ist also ein Ausgangspunkt. Für dein Modell zählt der Hinweis deines Router-Herstellers.

Kann ich PHP auf meinem Router selbst aktualisieren?

Bei den meisten Heimroutern nicht. Wenn der Router PHP hat, steckt es in der Firmware des Herstellers, und die Korrektur kommt als Firmware-Update. Bei pfSense und OPNsense ist das anders: Dort spielen die Besitzer das aktualisierte PHP selbst ein, nach den Schritten im Hinweis des jeweiligen Projekts.

Die Verwaltungsseite meines Routers ist nur zu Hause erreichbar. Bin ich sicher?

Laut Netgate sind pfSense-Besitzer, die die Verwaltungsseite aus nicht vertrauenswürdigen Netzen heraushalten und kein Captive Portal nutzen, nicht betroffen, sollen aber trotzdem aktualisieren. QNAP warnt, dass eine Beschränkung auf das lokale Netz nicht vor Geräten schützt, die darin bereits kompromittiert sind. Die Korrektur bleibt das Update.

Gibt es eine Übergangslösung, solange kein Update existiert?

Laut PHP-Projekt ist nur ein Update eine vollständige Lösung, seine Übergangseinstellungen senken das Risiko, machen eine Installation aber nicht sicher. Diese Einstellungen sind für Leute gedacht, die PHP selbst betreiben. Bei einem Router liegt in deiner Hand, die Verwaltungsseite vom Internet fernzuhalten und das Update des Herstellers einzuspielen.

Was ist PHP2Shell?

Der Name für zwei kritische PHP-Lücken, CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 nach CVSS Version 4.0 bewertet und am 21. Oktober 2026 veröffentlicht. Die korrigierten PHP-Versionen nennt Sicherheitslücke in PHP (PHP2Shell) einfach erklärt.

Quellen