Die PHP-Lücke und smarte Geräte sind seit dieser Woche ein unbequemes Duo: Eine Türklingel, die Bilder weiterleitet, ein Saugroboter, der einen Grundriss Deiner Wohnung speichert, und eine Waschmaschine, die eine Meldung schickt, wenn die Wäsche fertig ist, hängen alle an einem Server, der irgendwo online steht. Auf so einem Server läuft oft PHP, und genau dort lag das Problem.
PHP2Shell besteht aus zwei Fehlern in PHP selbst, beide mit 9,2 von 10 bewertet. Ein Angreifer muss sich dafür nicht einloggen, eine einzige Anfrage kann reichen, um Code auf dem Server auszuführen. Sieh PHP als den Empfang eines Webservers: Jede Anfrage läuft zuerst dort vorbei. Bei PHP2Shell gerät dieser Empfang durcheinander, weil der Speicher überläuft oder weil Reste einer früheren Anfrage stehen bleiben, noch bevor die Prüfungen der Website selbst beginnen. Die PHP-Entwickler haben am 21. Oktober korrigierte Versionen veröffentlicht, und Sicherheitsfirmen haben bereits Angriffsversuche beobachtet.
Für Dein Zuhause geht es deshalb weniger um die Frage, ob in Deinen Geräten PHP steckt, sondern darum, ob jemand von außen an ein Gerät herankommt. Überwachungskameras, die ihre Aufnahmen auf einem eigenen NVR oder einer microSD-Karte speichern, müssen diese Bilder nicht über einen fremden Server schicken. Die PoE-Kameras von Reolink arbeiten auf diese Weise, und damit nimmst Du viele sensible Daten aus der Kette heraus, in der diese Lücke sitzt.
Die PHP-Lücke und smarte Geräte: Wo steckt PHP in Deinem Zuhause?
Das niederländische Cybersicherheitszentrum NCSC nennt smarte Waschmaschinen, Videotürklingeln und Saugroboter als Beispiele für Geräte, in denen PHP stecken kann. Gleichzeitig lässt sich kaum herausfinden, um welche es geht, denn ein Hersteller verrät selten, in welcher Sprache die Firmware oder der App-Server geschrieben ist. In der Praxis gibt es drei Stellen, auf die es ankommt.
Der Server des Herstellers
Die meisten smarten Geräte sprechen über ihre App mit einer Cloud des Herstellers. Läuft dort eine ungepatchte PHP-Version, liegt das Problem beim Hersteller und Du kannst selbst nichts tun, außer Marken zu wählen, die schnell updaten. Europäische Regeln wie der Cyber Resilience Act verpflichten Hersteller zunehmend, Schwachstellen zu melden und zu beheben.
Die Verwaltungsoberfläche des Geräts selbst
Kameras, Router und Speichergeräte haben oft eine eigene Webseite für die Einstellungen. Diese Seite läuft auf einem kleinen Webserver im Gerät, und darunter kann PHP stecken. Solange diese Oberfläche nur aus Deinem Heimnetz erreichbar ist, muss ein Angreifer zuerst in Deinem WLAN sein, und dann hat er schon ein ganz anderes Problem gelöst. Das schwächste Glied sind alte Geräte ohne Updates: PHP 8.1 und älter bekommt keine regulären Updates mehr, deshalb bleibt alles, was darauf läuft, oft verwundbar.
Dein NAS und andere selbst betriebene Server
Ein NAS ist im Grunde ein kleiner Webserver mit Festplatte, und Pakete wie WordPress, Nextcloud und die Fotoverwaltung laufen auf PHP. Synology hat korrigierte Pakete veröffentlicht, die Details stehen in unserem Artikel zu Synology und PHP2Shell. QNAP hatte am 23. Oktober noch keine gepatchte Version bereit. Bis es soweit ist, besteht die gängige Notlösung darin, das Gerät vom Internet zu nehmen: Fernzugriff aus und keine Portweiterleitung. Prüfe danach auch die Protokolle, ob es seit dem 17. Oktober ungewöhnliche Zugriffe gab.
Wo das Risiko wirklich sitzt: alles, was nach außen schaut
Ein Router ist die Haustür Deines Netzwerks. Normalerweise bleibt sie zu: Geräte im Haus können nach draußen telefonieren, aber niemand von draußen kommt herein. Portweiterleitung und UPnP sind die Löcher, die Du in diese Tür sägst, damit eine Kamera, ein NAS oder ein smartes Gerät auch aus dem Internet erreichbar ist. Genau solche Geräte suchen Angreifer, denn sie durchkämmen das Internet mit automatisierten Scans nach Servern, die noch nicht aktualisiert wurden. Die ersten Angriffsversuche wurden am 17. Oktober beobachtet, vier Tage vor Erscheinen der Patches, und seit dem 21. Oktober wird die Lücke aktiv ausprobiert.
Über die PHP-Lücke und smarte Geräte sagt das NCSC, dass ein großflächiger Missbrauch weniger wahrscheinlich sei als zunächst befürchtet, und wer seine Geräte nur im Heimnetz erreichbar hält, trägt wenig Risiko. Das ist beruhigend, setzt aber eine geschlossene Haustür voraus. Manchmal zahlst Du dafür mit Komfort: Eine Kamera, die Du nur zu Hause ansiehst, kannst Du nicht mehr vom Büro aus öffnen. Dafür gibt es bessere Wege als einen offenen Port.
PHP-Lücke und smarte Geräte: In zehn Minuten ein gutes Stück sicherer
- Geh Deinen Router durch. Suche nach Portweiterleitung (Port Forwarding) und UPnP und schalte aus, was Du nicht erkennst. Das ist der Schritt mit dem größten Gewinn.
- Aktualisiere alles, was sich aktualisieren lässt. Aktiviere automatische Updates in den Apps und schau, welche Geräte schon lange keine Firmware mehr bekommen haben. Ein Gerät ohne Updates ersetzt Du besser oder nimmst es vom Internet.
- Regle den Zugriff von unterwegs über eine Zentrale oder ein VPN. Ein HomePod oder Apple TV als HomeKit-Zentrale gibt Dir Zugriff von außen, ohne dass ein Port offen sein muss, und andere Plattformen bieten vergleichbare Wege über ihre eigene Zentrale. Für ein NAS oder einen Kamera-NVR ist ein VPN zum Router die saubere Lösung.
- Gib Wackelkandidaten ein eigenes Netzwerk. Setze günstige oder ältere Geräte ins Gastnetz Deines Routers, damit sie nicht neben Deinem Laptop und NAS hängen.
- Setze wo möglich auf lokal. Geräte, die über Matter und Thread direkt mit Deiner Zentrale sprechen, haben meist keine Verwaltungsseite, die sich missbrauchen lässt, und brauchen für ihre täglichen Routinen keinen Server des Herstellers.
Eine Routine wie Licht an bei Bewegung im Flur läuft dann komplett durch Dein eigenes Zuhause: Der Thread-Sensor meldet die Bewegung an die Zentrale, die Zentrale schaltet das Licht, und es ist kein Server eines Herstellers (und damit auch kein PHP) beteiligt. Sensoren von Aqara und Eve funktionieren so, und mit einer Steckdose oder einem Türsensor dazu richtest Du dieselbe Routine für den Rest des Hauses ein.
Möchtest Du Deine Aufnahmen künftig bei Dir behalten statt in einer Cloud? Dann wirf einen Blick auf das Angebot an Überwachungskameras von Reolink auf tink.at, mit lokalem Speicher auf einem NVR oder einer microSD-Karte.
![Jetzt bei den tink Energiespartagen bis zu 50% sparen - zum tink Shop](https://www.tink.at/blog/wp-content/uploads/sites/6/2026/10/300x250_DAT_wm-deals_Announcement.jpg")