Wir haben diese Behauptung analysiert: Stimmt es, dass
PHP2Shell-Schwachstellen eingebettetes PHP in Unternehmens-Firewalls sowie Sicherheits-Management-Systemen betreffen und einzelne Produkte bis zur Bereitstellung von Sicherheitsupdates durch die Hersteller angreifbar lassen?
Sicherheitslücken in PHP betreffen die Verwaltungsoberflächen bestimmter Firewalls, doch bislang wurden keine bestätigten Angriffe auf Geräte gemeldet und die Hersteller arbeiten an Updates.
Sicherheitslücken in Websprache erreichen Firmen-Firewalls
Schwachstellen in einer verbreiteten Softwarekomponente zwingen Netzwerkbetreiber zum Warten auf maßgeschneiderte Hersteller-Updates.
Die Geschichte geht weiter
Sicherheitslücke in Websoftware setzt Unternehmensfirewalls unter Zugzwang
31. Oktober 2026Führende IT-Ausrüster stellen Notfall-Updates bereit, doch Firmennetzwerke bleiben wegen schleppender Nachbesserungen vorerst verwundbar.
Warum Sicherheitsupdates allein Webseiten nicht mehr ausreichend schützen
30. Oktober 2026Selbst nach dem Einspielen aktueller Patches bleiben Online-Dienste verwundbar, wenn Serverkonfiguration und Hosting-Ebenen ungeprüft bleiben.
Das Wesentliche
Zwei schwere Softwarefehler in der Web-Programmiersprache PHP bedrohen die internen Verwaltungsoberflächen großer Unternehmens-Firewalls, darunter Systeme von Palo Alto Networks und Cisco. Während öffentliche Webserver bereits am 21. Oktober Notfall-Updates erhielten, verlangen Hardware-Firewalls mit eingebetteter Software nach eigens angepassten Hersteller-Patches. Bislang sind keine Angriffe auf Firewalls bekannt. Da Firmware-Korrekturen erst für den 26. bis 30. Oktober angekündigt sind, müssen Netzwerkadministratoren administrative Zugänge vorübergehend streng abriegeln und auf Filterregeln setzen.
Die Kernpunkte
- Die zugrunde liegenden Programmierfehler in PHP2Shell sind mit einem kritischen Schweregrad von 9,2 von 10 Punkten eingestuft.
- Werden administrative Zugänge hinter internen Jump-Servern isoliert, sinkt der Schweregrad für das Gesamtsystem von 8,7 auf 7,1 Punkte.
- Palo Alto Networks plant die Veröffentlichung von Firmware-Hotfixes für fünf PAN-OS-Versionszweige zwischen dem 26. und 30. Oktober.
- Die physischen Sicherheitsgeräte WildFire WF-500 und WF-500-B erwiesen sich nach einer Korrektur des Herstellers als vollkommen sicher.
- Bislang wurden keine erfolgreichen Angriffe auf Firewalls oder Managementsysteme von Palo Alto Networks nachgewiesen.
Ermittelte Schweregrade der PHP2Shell-Schwachstellen
PunkteDer BefundDie Beschränkung des Administrationszugangs auf vertrauenswürdige interne Jump-Server senkt den bewerteten Schweregrad der Schwachstelle deutlich.
- Ermittelte Schweregrade für die ursprüngliche PHP-Lücke im Vergleich zu den Verwaltungsoberflächen von Palo Alto Networks bei freiliegendem und geschütztem Netzwerkzugriff.
- PAN-OS — Das Betriebssystem der Firewalls von Palo Alto Networks
- Jump-Server — Ein speziell abgesicherter Zwischenrechner, über den Administratoren auf geschützte interne Systeme zugreifen
- Veranschaulicht, warum Unternehmen administrative Zugänge in sicheren Netzwerken isolieren, während sie auf die offiziellen Sicherheitsupdates der Hersteller warten.
Aus dem Tagebuch des Redakteurs
Ein Unternehmen kann jede eigene Internetseite absichern und dennoch verwundbar bleiben – über den verdeckten Code in der Sicherheits-Hardware. Effektive Netzwerkwächter verlangen den genauen Überblick über jede einzelne Softwarekomponente, die in den Geräten an der eigenen Netzwerkgrenze eingebettet ist.
Wer beteiligt ist
PHP Foundation und PHP-Sicherheitsteam
Die gemeinnützige Stiftung und die freiwilligen Entwickler, die die Web-Programmiersprache PHP betreuen
will → Die gemeinsamen Codefehler zügig beheben, koordinierte Veröffentlichungen sicherstellen und Verzögerungen vermeiden
Palo Alto Networks
Ein führender US-amerikanischer Cybersicherheitskonzern, der Firewalls, Betriebssysteme und Netzwerkkonsolen herstellt
will → Verwundbare Geräte identifizieren, geprüfte Software-Hotfixes bereitstellen und Kundensysteme schützen
Netzwerkbetreiber in Unternehmen
Die IT-Teams, die Netzwerksperren in Betrieben, Bildungseinrichtungen und Behörden verwalten
will → Die Schutzsysteme im Betrieb halten, unbefugte Logins auf Verwaltungsoberflächen blockieren und verifizierte Hersteller-Updates einspielen
Cisco
Ein US-amerikanischer Ausrüster für Router, Firewalls und Büro-Netzwerktechnik
will → Den Gerätekatalog auf die fehlerhafte Software prüfen, vorübergehende Ausweichlösungen bereitstellen und Produktkorrekturen ausliefern
Fortinet
Ein US-amerikanisches Sicherheitsunternehmen, das Firmen-Firewalls und Überwachungswerkzeuge anbietet
will → Die eigene Modellpalette auf Verwundbarkeiten prüfen und betroffenen Kunden digitale Übergangsfilter zur Verfügung stellen
Netgate und das OPNsense-Projekt
Softwareteams, die die quelloffenen Firewall-Plattformen pfSense und OPNsense pflegen
will → Aktualisierte Web-Pakete schnell veröffentlichen, betroffene Konsolen neu starten und Management-Portale sichern
Siemens
Ein deutscher Industriekonzern, dessen gehärtete Rechner Netzwerk-Sicherheitswerkzeuge ausführen
will → Industrie- und Versorgungskunden schützen, die Firewall-Software von Drittanbietern nutzen, und passende Updates verteilen
QNAP
Ein taiwanesischer Hersteller von Netzwerkspeichern und Laufwerksystemen
will → Betroffene interne Softwaremodule identifizieren, Sicherheitsupdates entwickeln und Anwender beim Senken des Betriebsrisikos unterstützen
Kurz gefasst
Ausgerechnet die Schutzsysteme von Unternehmensnetzwerken weisen dieselben Programmierfehler auf wie die Webseiten, die sie absichern sollen. Weil moderne Firewalls auf interne Webanwendungen setzen, damit Administratoren Einstellungen vornehmen können, macht ein weit verbreiteter Fehler in der Programmiersprache PHP nun auch Sicherheitsgeräte verwundbar. Die betroffenen Abwehrsysteme sind auf speziell angepasste Aktualisierungen ihrer jeweiligen Hersteller angewiesen.
Die entscheidende Bewährungsprobe steht nun bevor: Die Hersteller müssen funktionierende Sicherheitsupdates bereitstellen und Betreiber diese einspielen, bevor Angreifer die offenen administrativen Zugänge ausnutzen.
Ein glimpflicher Ausgang gilt als wahrscheinlich, da die Hersteller verbindliche Zeitpläne für die Reparatur vorgelegt haben. Vollständige Sicherheit besteht allerdings erst, wenn Unternehmen die Installation der Updates flächendeckend abgeschlossen haben.
Die Vorgeschichte
QNAP schließt gefährliche Sicherheitslücke auf sechs Speichersystemen
24. Oktober 2026Aktualisierte Firmware schützt weite Teile der Produktpalette, doch vier Spezialserien bleiben vorerst verwundbar.
Dritte Schwachstelle verkompliziert PHP-Sicherheit
24. Oktober 2026Reine Software-Updates schützen Webseiten womöglich nicht, solange bestimmte Einstellungen aktiv bleiben.
Sicherheitslücken in PHP treffen Netzwerk-Hardware mit Verzögerung
23. Oktober 2026Webhoster schließen kritische Einfallstore zügig, während Administratoren von Firmen-Firewalls auf Hersteller-Updates warten müssen.
Sicherheitslücke PHP2Shell bedroht Millionen Webseiten – Patch-Pflicht spaltet Netzbetreiber
23. Oktober 2026Ein schwerer Speicherfehler gefährdet Server weltweit, doch die Behebung lässt sich nicht über herkömmliche Redaktionssysteme einspielen.
Wie es sich entwickelte
Sicherheitsprüfungen decken Schwachstellen in weit verbreitetem Webcode auf
Die Schwachstellen kamen ans Licht, als externe Sicherheitsforscher bei der Prüfung von Webcode feststellten, dass sich PHP bei akutem Arbeitsspeichermangel zur Ausführung schädlicher Befehle manipulieren lässt. Ein Analyst des IT-Sicherheitsunternehmens Calif meldete den funktionierenden Angriffsweg im August 2026. Unabhängig davon machten das KI-Unternehmen OpenAI und der Cloud-Sicherheitsspezialist Wiz auf dasselbe Grundproblem aufmerksam.
Die Entwickler der PHP Foundation hatten verwandte Speicherprobleme bereits bei einer früheren internen Überprüfung bemerkt, doch eine saubere Korrektur erwies sich als komplex. Um den Programmierern Zeit für die Reparatur zu geben, hielten die Beteiligten die Entdeckung geheim. Ende Oktober tauchten jedoch unbestätigte Kennnummern der Schwachstellen in öffentlichen Foren auf. Durch diesen vorzeitigen Informationsabfluss geriet der vertrauliche Zeitplan für die PHP-Sicherheitsupdates ins Wanken, was die Gerätehersteller unvorbereitet unter Zugzwang setzte.
Notfall-Patches für das Web erscheinen – Hardware bleibt verwundbar
Am 21. Oktober veröffentlichten die PHP-Entwickler Notfall-Updates für vier unterstützte Versionen der Programmiersprache, um zwei schwere Speicherfehler zu beheben. Dieser Schritt sicherte Standard-Webserver ab, erreichte die Netzwerkhardware jedoch nicht. Sicherheitsgeräte nutzen häufig eigene, isolierte Versionen der Software, um ihre internen Management-Menüs darzustellen.
Palo Alto Networks bestätigte in einer Sicherheitswarnung, dass die Verwaltungsoberflächen und Schnittstellen der PAN-OS-Firewalls sowie der Panorama-Controller anfällig sind. Der reguläre Datenverkehr, der die Firewalls passiert, blieb geschützt. Wer jedoch die Anmeldeseite der Administration erreichen konnte, besaß potenziell Zugriff auf die Lücke. Die Open-Source-Projekte Netgate und OPNsense reagierten noch am selben Tag mit aktualisierten Paketen, während Cisco mit der Sichtung seines umfangreichen Geräteportfolios begann. Die Vorgänge zeigten, dass herkömmliche Server bereits bereinigt wurden, während Hardware-Appliances ungeschützt blieben, und machten unerwartete Software-Lieferketten innerhalb von Sicherheitssystemen sichtbar.
Hersteller trennen betroffene Systeme von sicheren Produkten
Bis zum 22. Oktober teilten sich die Gegenmaßnahmen in zwei getrennte Stränge. Webadministratoren patchten Standardserver, während Hardwarehersteller die Firmware ihrer Geräte daraufhin untersuchten, ob interne Werkzeuge auf PHP zurückgreifen. Ein Update auf einer Unternehmenswebsite schützte den verdeckten Webdienst in einem Sicherheitsgateway im Firmennetzwerk nicht.
Palo Alto stellte klar, dass nach außen gerichtete Dienste wie die Fernzugangslösung GlobalProtect und reguläre VPN-Verbindungen nicht angreifbar sind, womit sich die Gefahr rein auf die Management-Zugänge konzentrierte. Zugleich behob das Unternehmen die Schwachstellen in Clouddiensten wie Cortex XCORE SaaS und WildFire Cloud. Der Konkurrent Fortinet teilte mit, dass sein Firewall-Betriebssystem FortiOS die fehlerhafte Software nicht verwende, und veröffentlichte Filterregeln zur Absicherung externer Systeme. Der Speicherhersteller QNAP und Cisco warnten derweil, dass einzelne ihrer Verwaltungswerkzeuge vorerst verwundbar blieben, während Ingenieure an eigenen Software-Updates arbeiteten.
Hersteller legen Update-Termine fest – Betreiber sperren Zugänge
Am 23. Oktober verlagerte sich der Schwerpunkt von der Bestandsaufnahme auf die Bereitstellung dauerhafter Patches. Palo Alto legte einen Zeitplan für Hotfixes über fünf Versionszweige hinweg für den Zeitraum vom 26. bis 30. Oktober vor. Gleichzeitig korrigierte das Unternehmen eine frühere Einstufung und bestätigte, dass die physischen Analyse-Appliances WildFire WF-500 nicht betroffen sind. Da die Updates noch Tage auf sich warten ließen, riet Palo Alto den Betreibern, die Administrationskonsolen hinter internen Jump-Servern abzuschirmen, was das Betriebsrisiko erheblich senkt.
Gegen Ende der Woche weiteten auch andere Anbieter ihre Hinweise aus. Der Industriekonzern Siemens teilte mit, dass RUGGEDCOM-Kommunikationsgeräte für Fabriknetze gefährdet sind, wenn darauf betroffene Software von Palo Alto läuft. Cisco identifizierte weitere betroffene WLAN- und Bürokommunikationssysteme. Um Zeit zu gewinnen, stellte Palo Alto am 24. Oktober erweiterte Signaturen zur Angriffserkennung bereit. Diese Erkennungsmuster helfen beim Aufspüren von Manipulationsversuchen. Dauerhafte Sicherheit entsteht jedoch erst, wenn Administratoren die angekündigten Firmware-Updates einspielen.
Wo die Dinge stehen
Das Sicherheitsrisiko ist mit Stand vom 24. Oktober 2026 klar umrissen: Schwachstellen in PHP betreffen die Management-Oberflächen von Palo Altos PAN-OS- und Panorama-Systemen, und reguläre Web-Updates reichen zur Absicherung nicht aus. Palo Alto hat Firmware-Hotfixes für den Zeitraum vom 26. bis 30. Oktober angekündigt, die Auslieferung steht jedoch noch aus. Die physischen WildFire-Appliances gelten nachweislich als sicher, während Clouddienste bereits aktualisiert wurden.
Bislang gibt es keine Hinweise auf erfolgreiche Angriffe auf Firewalls oder Verwaltungssysteme von Palo Alto. Im Internet laufen zwar automatisierte Scan-Aktivitäten, doch Angriffsversuche auf gewöhnliche Webserver bedeuten keine kompromittierten Firewalls. Die entscheidende Frage der kommenden Tage lautet, ob die Hersteller ihre Zeitpläne einhalten, ob Netzwerkbetreiber die Updates unverzüglich installieren und ob die Schutzmaßnahmen im Netzwerk bis dahin standhalten.
PHP2Shell: die PHP-Sicherheitskrise
PHP-Sicherheitsupdate trotz Falschmeldungen über Umgehung wirksam
21. Oktober 2026Berichte über ein angeblich fehlerhaftes Notfall-Patch für Millionen Webserver entbehren laut technischen Analysen jeder Grundlage.
PHP schließt kritische Sicherheitslücken nach vorzeitiger Veröffentlichung von Angriffscode
21. Oktober 2026Vorzeitig ins Netz gelangte Exploit-Anleitungen bedrohen Millionen Webserver weltweit mit einer feindlichen Übernahme, noch bevor offizielle Updates bereitstanden.