Die Sicherheitslücke PHP2Shell (CVE-2024-50379) in PHP betrifft Millionen von Geräten weltweit, besonders problematisch ist die Situation bei Firewalls, Routern und Industrieanlagen. Das Problem: Die vulnerable PHP-Version ist fest in der Firmware dieser Geräte eingekapselt, und viele Hersteller bieten keinen direkten PHP-Patch an.
Die Lücke ermöglicht es Angreifern, über spezielle Eingaben Systemkommandos auszuführen oder die Kontrolle über das betroffene Gerät zu erlangen. Dies ist besonders gefährlich, da Firewalls und Netzwerk-Appliances oft als Vertrauensgrenze zwischen dem internen Netzwerk und dem Internet fungieren. Ein kompromittiertes Gerät gefährdet das gesamte Netzwerk dahinter.
Das Tückische an PHP2Shell ist die Tatsache, dass Firmware-Updates zwar meist für die Geräte verfügbar sind, aber nicht immer das PHP-Modul aktualisieren. Manche Hersteller haben zu lange Updatezyklen oder bieten noch gar keine Patches an. Selbst wenn ein Gesamtupdate erfolgt, können alte PHP-Versionen noch enthalten sein, wenn die Firmware nicht vollständig neugebaut wurde.
Sicherheitsexperten raten daher zu mehrschichtigen Massnahmen: Erstens sollten alle verfügbaren Firmware-Updates unmittelbar eingespielt werden. Zweitens empfiehlt sich eine Überprüfung des Geräteherstellers, ob konkrete PHP-Sicherheitspatches zeitlich absehbar sind. Drittens sollten betroffene Geräte durch zusätzliche Netzwerk-Segmentierung geschützt werden, um die Angriffsflächse zu reduzieren. Viertens sollten Admins ihre Logs überwachen, um verdächtige Zugriffsmuster zu erkennen.
Für KMU ist dies kritisch, weil Firewall-Appliances oft das Rückgrat der IT-Sicherheit darstellen. Eine Kompromittierung dieser Geräte könnte alle dahinter liegenden Systeme gefährden. Eine schnelle Inventarisierung aller betroffenen Geräte (besonders ASA, FortiGate, Palo Alto, Cisco etc.) ist der erste Schritt. Hersteller kontaktieren, Updates prüfen und Sicherheitshinweise implementieren sollte oberste Priorität sein.