![\"Reolink](\"https:\/\/www.tink.de\/cdn\/503862\/media\/catalog\/product\/p\/3\/p34_titelbild.jpg\"\r\n)
<\/a>\r\n <\/div>\r\n ![\"Reolink](\"https:\/\/www.tink.de\/cdn\/503862\/media\/catalog\/product\/2\/7\/2770021_titelbild_1.jpg\"\r\n)
<\/a>\r\n <\/div>\r\n ![\"Reolink](\"https:\/\/www.tink.de\/cdn\/832873\/media\/catalog\/product\/p\/7\/p760_titelbild.jpg\"\r\n)
<\/a>\r\n <\/div>\r\n Die PHP-L\u00fccke und smarte Ger\u00e4te: Wo steckt PHP in Deinem Zuhause?<\/strong><\/h2>\n\n\n\nDas niederl\u00e4ndische Cybersicherheitszentrum NCSC nennt smarte Waschmaschinen, Videot\u00fcrklingeln und Saugroboter als Beispiele f\u00fcr Ger\u00e4te, in denen PHP stecken kann. Gleichzeitig l\u00e4sst sich kaum herausfinden, um welche es geht, denn ein Hersteller verr\u00e4t selten, in welcher Sprache die Firmware oder der App-Server geschrieben ist. In der Praxis gibt es drei Stellen, auf die es ankommt.<\/p>\n\n\n\n
Der Server des Herstellers<\/strong><\/h3>\n\n\n\nDie meisten smarten Ger\u00e4te sprechen \u00fcber ihre App mit einer Cloud des Herstellers. L\u00e4uft dort eine ungepatchte PHP-Version, liegt das Problem beim Hersteller und Du kannst selbst nichts tun, au\u00dfer Marken zu w\u00e4hlen, die schnell updaten. Europ\u00e4ische Regeln wie der Cyber Resilience Act verpflichten Hersteller zunehmend, Schwachstellen zu melden und zu beheben.<\/p>\n\n\n\n
Die Verwaltungsoberfl\u00e4che des Ger\u00e4ts selbst<\/strong><\/h3>\n\n\n\nKameras, Router und Speicherger\u00e4te haben oft eine eigene Webseite f\u00fcr die Einstellungen. Diese Seite l\u00e4uft auf einem kleinen Webserver im Ger\u00e4t, und darunter kann PHP stecken. Solange diese Oberfl\u00e4che nur aus Deinem Heimnetz erreichbar ist, muss ein Angreifer zuerst in Deinem WLAN sein, und dann hat er schon ein ganz anderes Problem gel\u00f6st. Das schw\u00e4chste Glied sind alte Ger\u00e4te ohne Updates: PHP 8.1 und \u00e4lter bekommt keine regul\u00e4ren Updates mehr, deshalb bleibt alles, was darauf l\u00e4uft, oft verwundbar.<\/p>\n\n\n\n
Dein NAS und andere selbst betriebene Server<\/strong><\/h3>\n\n\n\nEin NAS ist im Grunde ein kleiner Webserver mit Festplatte, und Pakete wie WordPress, Nextcloud und die Fotoverwaltung laufen auf PHP. Synology hat korrigierte Pakete ver\u00f6ffentlicht, die Details stehen in unserem Artikel zu Synology und PHP2Shell<\/strong><\/a>. QNAP hatte am 23. Oktober noch keine gepatchte Version bereit. Bis es soweit ist, besteht die g\u00e4ngige Notl\u00f6sung darin, das Ger\u00e4t vom Internet zu nehmen: Fernzugriff aus und keine Portweiterleitung. Pr\u00fcfe danach auch die Protokolle, ob es seit dem 17. Oktober ungew\u00f6hnliche Zugriffe gab.<\/p>\n\n\n\nWo das Risiko wirklich sitzt: alles, was nach au\u00dfen schaut<\/strong><\/h2>\n\n\n\nEin Router ist die Haust\u00fcr Deines Netzwerks. Normalerweise bleibt sie zu: Ger\u00e4te im Haus k\u00f6nnen nach drau\u00dfen telefonieren, aber niemand von drau\u00dfen kommt herein. Portweiterleitung und UPnP sind die L\u00f6cher, die Du in diese T\u00fcr s\u00e4gst, damit eine Kamera, ein NAS oder ein smartes Ger\u00e4t auch aus dem Internet erreichbar ist. Genau solche Ger\u00e4te suchen Angreifer, denn sie durchk\u00e4mmen das Internet mit automatisierten Scans nach Servern, die noch nicht aktualisiert wurden. Die ersten Angriffsversuche wurden am 17. Oktober beobachtet, vier Tage vor Erscheinen der Patches, und seit dem 21. Oktober wird die L\u00fccke aktiv ausprobiert.<\/p>\n\n\n\n
\u00dcber die PHP-L\u00fccke und smarte Ger\u00e4te sagt das NCSC, dass ein gro\u00dffl\u00e4chiger Missbrauch weniger wahrscheinlich sei als zun\u00e4chst bef\u00fcrchtet, und wer seine Ger\u00e4te nur im Heimnetz erreichbar h\u00e4lt, tr\u00e4gt wenig Risiko. Das ist beruhigend, setzt aber eine geschlossene Haust\u00fcr voraus. Manchmal zahlst Du daf\u00fcr mit Komfort: Eine Kamera, die Du nur zu Hause ansiehst, kannst Du nicht mehr vom B\u00fcro aus \u00f6ffnen. Daf\u00fcr gibt es bessere Wege als einen offenen Port.<\/p>\n\n\n\n
PHP-L\u00fccke und smarte Ger\u00e4te: In zehn Minuten ein gutes St\u00fcck sicherer<\/strong><\/h2>\n\n\n\n\n- Geh Deinen Router durch.<\/strong> Suche nach Portweiterleitung (Port Forwarding) und UPnP und schalte aus, was Du nicht erkennst. Das ist der Schritt mit dem gr\u00f6\u00dften Gewinn.<\/li>\n\n\n\n
- Aktualisiere alles, was sich aktualisieren l\u00e4sst.<\/strong> Aktiviere automatische Updates in den Apps und schau, welche Ger\u00e4te schon lange keine Firmware mehr bekommen haben. Ein Ger\u00e4t ohne Updates ersetzt Du besser oder nimmst es vom Internet.<\/li>\n\n\n\n
- Regle den Zugriff von unterwegs \u00fcber eine Zentrale oder ein VPN.<\/strong> Ein HomePod oder Apple TV<\/strong><\/a> als HomeKit-Zentrale gibt Dir Zugriff von au\u00dfen, ohne dass ein Port offen sein muss, und andere Plattformen bieten vergleichbare Wege \u00fcber ihre eigene Zentrale. F\u00fcr ein NAS oder einen Kamera-NVR ist ein VPN zum Router die saubere L\u00f6sung.<\/li>\n\n\n\n
- Gib Wackelkandidaten ein eigenes Netzwerk.<\/strong> Setze g\u00fcnstige oder \u00e4ltere Ger\u00e4te ins Gastnetz Deines Routers, damit sie nicht neben Deinem Laptop und NAS h\u00e4ngen.<\/li>\n\n\n\n
- Setze wo m\u00f6glich auf lokal.<\/strong> Ger\u00e4te, die \u00fcber Matter und Thread direkt mit Deiner Zentrale sprechen, haben meist keine Verwaltungsseite, die sich missbrauchen l\u00e4sst, und brauchen f\u00fcr ihre t\u00e4glichen Routinen keinen Server des Herstellers.<\/li>\n<\/ol>\n\n\n\n
Eine Routine wie Licht an bei Bewegung im Flur l\u00e4uft dann komplett durch Dein eigenes Zuhause: Der Thread-Sensor meldet die Bewegung an die Zentrale, die Zentrale schaltet das Licht, und es ist kein Server eines Herstellers (und damit auch kein PHP) beteiligt. Sensoren von Aqara<\/strong><\/a> und Eve<\/strong><\/a> funktionieren so, und mit einer Steckdose oder einem T\u00fcrsensor dazu richtest Du dieselbe Routine f\u00fcr den Rest des Hauses ein.<\/p>\n\n\n\r\n\r\n \r\n \r\n \r\n ![\"Aqara](\"https:\/\/www.tink.de\/cdn\/503862\/media\/catalog\/product\/p\/2\/p23.jpg\"\r\n)
<\/a>\r\n <\/div>\r\n \r\n Aqara Motion and Light Sensor P2 - Smarter Bewegungsmelder - Weiß<\/a>\r\n <\/div>\r\n <\/div>\r\n
Die meisten smarten Ger\u00e4te sprechen \u00fcber ihre App mit einer Cloud des Herstellers. L\u00e4uft dort eine ungepatchte PHP-Version, liegt das Problem beim Hersteller und Du kannst selbst nichts tun, au\u00dfer Marken zu w\u00e4hlen, die schnell updaten. Europ\u00e4ische Regeln wie der Cyber Resilience Act verpflichten Hersteller zunehmend, Schwachstellen zu melden und zu beheben.<\/p>\n\n\n\n
Die Verwaltungsoberfl\u00e4che des Ger\u00e4ts selbst<\/strong><\/h3>\n\n\n\nKameras, Router und Speicherger\u00e4te haben oft eine eigene Webseite f\u00fcr die Einstellungen. Diese Seite l\u00e4uft auf einem kleinen Webserver im Ger\u00e4t, und darunter kann PHP stecken. Solange diese Oberfl\u00e4che nur aus Deinem Heimnetz erreichbar ist, muss ein Angreifer zuerst in Deinem WLAN sein, und dann hat er schon ein ganz anderes Problem gel\u00f6st. Das schw\u00e4chste Glied sind alte Ger\u00e4te ohne Updates: PHP 8.1 und \u00e4lter bekommt keine regul\u00e4ren Updates mehr, deshalb bleibt alles, was darauf l\u00e4uft, oft verwundbar.<\/p>\n\n\n\n
Dein NAS und andere selbst betriebene Server<\/strong><\/h3>\n\n\n\nEin NAS ist im Grunde ein kleiner Webserver mit Festplatte, und Pakete wie WordPress, Nextcloud und die Fotoverwaltung laufen auf PHP. Synology hat korrigierte Pakete ver\u00f6ffentlicht, die Details stehen in unserem Artikel zu Synology und PHP2Shell<\/strong><\/a>. QNAP hatte am 23. Oktober noch keine gepatchte Version bereit. Bis es soweit ist, besteht die g\u00e4ngige Notl\u00f6sung darin, das Ger\u00e4t vom Internet zu nehmen: Fernzugriff aus und keine Portweiterleitung. Pr\u00fcfe danach auch die Protokolle, ob es seit dem 17. Oktober ungew\u00f6hnliche Zugriffe gab.<\/p>\n\n\n\nWo das Risiko wirklich sitzt: alles, was nach au\u00dfen schaut<\/strong><\/h2>\n\n\n\nEin Router ist die Haust\u00fcr Deines Netzwerks. Normalerweise bleibt sie zu: Ger\u00e4te im Haus k\u00f6nnen nach drau\u00dfen telefonieren, aber niemand von drau\u00dfen kommt herein. Portweiterleitung und UPnP sind die L\u00f6cher, die Du in diese T\u00fcr s\u00e4gst, damit eine Kamera, ein NAS oder ein smartes Ger\u00e4t auch aus dem Internet erreichbar ist. Genau solche Ger\u00e4te suchen Angreifer, denn sie durchk\u00e4mmen das Internet mit automatisierten Scans nach Servern, die noch nicht aktualisiert wurden. Die ersten Angriffsversuche wurden am 17. Oktober beobachtet, vier Tage vor Erscheinen der Patches, und seit dem 21. Oktober wird die L\u00fccke aktiv ausprobiert.<\/p>\n\n\n\n
\u00dcber die PHP-L\u00fccke und smarte Ger\u00e4te sagt das NCSC, dass ein gro\u00dffl\u00e4chiger Missbrauch weniger wahrscheinlich sei als zun\u00e4chst bef\u00fcrchtet, und wer seine Ger\u00e4te nur im Heimnetz erreichbar h\u00e4lt, tr\u00e4gt wenig Risiko. Das ist beruhigend, setzt aber eine geschlossene Haust\u00fcr voraus. Manchmal zahlst Du daf\u00fcr mit Komfort: Eine Kamera, die Du nur zu Hause ansiehst, kannst Du nicht mehr vom B\u00fcro aus \u00f6ffnen. Daf\u00fcr gibt es bessere Wege als einen offenen Port.<\/p>\n\n\n\n
PHP-L\u00fccke und smarte Ger\u00e4te: In zehn Minuten ein gutes St\u00fcck sicherer<\/strong><\/h2>\n\n\n\n\n- Geh Deinen Router durch.<\/strong> Suche nach Portweiterleitung (Port Forwarding) und UPnP und schalte aus, was Du nicht erkennst. Das ist der Schritt mit dem gr\u00f6\u00dften Gewinn.<\/li>\n\n\n\n
- Aktualisiere alles, was sich aktualisieren l\u00e4sst.<\/strong> Aktiviere automatische Updates in den Apps und schau, welche Ger\u00e4te schon lange keine Firmware mehr bekommen haben. Ein Ger\u00e4t ohne Updates ersetzt Du besser oder nimmst es vom Internet.<\/li>\n\n\n\n
- Regle den Zugriff von unterwegs \u00fcber eine Zentrale oder ein VPN.<\/strong> Ein HomePod oder Apple TV<\/strong><\/a> als HomeKit-Zentrale gibt Dir Zugriff von au\u00dfen, ohne dass ein Port offen sein muss, und andere Plattformen bieten vergleichbare Wege \u00fcber ihre eigene Zentrale. F\u00fcr ein NAS oder einen Kamera-NVR ist ein VPN zum Router die saubere L\u00f6sung.<\/li>\n\n\n\n
- Gib Wackelkandidaten ein eigenes Netzwerk.<\/strong> Setze g\u00fcnstige oder \u00e4ltere Ger\u00e4te ins Gastnetz Deines Routers, damit sie nicht neben Deinem Laptop und NAS h\u00e4ngen.<\/li>\n\n\n\n
- Setze wo m\u00f6glich auf lokal.<\/strong> Ger\u00e4te, die \u00fcber Matter und Thread direkt mit Deiner Zentrale sprechen, haben meist keine Verwaltungsseite, die sich missbrauchen l\u00e4sst, und brauchen f\u00fcr ihre t\u00e4glichen Routinen keinen Server des Herstellers.<\/li>\n<\/ol>\n\n\n\n
Eine Routine wie Licht an bei Bewegung im Flur l\u00e4uft dann komplett durch Dein eigenes Zuhause: Der Thread-Sensor meldet die Bewegung an die Zentrale, die Zentrale schaltet das Licht, und es ist kein Server eines Herstellers (und damit auch kein PHP) beteiligt. Sensoren von Aqara<\/strong><\/a> und Eve<\/strong><\/a> funktionieren so, und mit einer Steckdose oder einem T\u00fcrsensor dazu richtest Du dieselbe Routine f\u00fcr den Rest des Hauses ein.<\/p>\n\n\n\r\n\r\n \r\n \r\n \r\n <\/a>\r\n <\/div>\r\n \r\n Aqara Motion and Light Sensor P2 - Smarter Bewegungsmelder - Weiß<\/a>\r\n <\/div>\r\n <\/div>\r\n
Ein NAS ist im Grunde ein kleiner Webserver mit Festplatte, und Pakete wie WordPress, Nextcloud und die Fotoverwaltung laufen auf PHP. Synology hat korrigierte Pakete ver\u00f6ffentlicht, die Details stehen in unserem Artikel zu Synology und PHP2Shell<\/strong><\/a>. QNAP hatte am 23. Oktober noch keine gepatchte Version bereit. Bis es soweit ist, besteht die g\u00e4ngige Notl\u00f6sung darin, das Ger\u00e4t vom Internet zu nehmen: Fernzugriff aus und keine Portweiterleitung. Pr\u00fcfe danach auch die Protokolle, ob es seit dem 17. Oktober ungew\u00f6hnliche Zugriffe gab.<\/p>\n\n\n\n Ein Router ist die Haust\u00fcr Deines Netzwerks. Normalerweise bleibt sie zu: Ger\u00e4te im Haus k\u00f6nnen nach drau\u00dfen telefonieren, aber niemand von drau\u00dfen kommt herein. Portweiterleitung und UPnP sind die L\u00f6cher, die Du in diese T\u00fcr s\u00e4gst, damit eine Kamera, ein NAS oder ein smartes Ger\u00e4t auch aus dem Internet erreichbar ist. Genau solche Ger\u00e4te suchen Angreifer, denn sie durchk\u00e4mmen das Internet mit automatisierten Scans nach Servern, die noch nicht aktualisiert wurden. Die ersten Angriffsversuche wurden am 17. Oktober beobachtet, vier Tage vor Erscheinen der Patches, und seit dem 21. Oktober wird die L\u00fccke aktiv ausprobiert.<\/p>\n\n\n\n \u00dcber die PHP-L\u00fccke und smarte Ger\u00e4te sagt das NCSC, dass ein gro\u00dffl\u00e4chiger Missbrauch weniger wahrscheinlich sei als zun\u00e4chst bef\u00fcrchtet, und wer seine Ger\u00e4te nur im Heimnetz erreichbar h\u00e4lt, tr\u00e4gt wenig Risiko. Das ist beruhigend, setzt aber eine geschlossene Haust\u00fcr voraus. Manchmal zahlst Du daf\u00fcr mit Komfort: Eine Kamera, die Du nur zu Hause ansiehst, kannst Du nicht mehr vom B\u00fcro aus \u00f6ffnen. Daf\u00fcr gibt es bessere Wege als einen offenen Port.<\/p>\n\n\n\n Eine Routine wie Licht an bei Bewegung im Flur l\u00e4uft dann komplett durch Dein eigenes Zuhause: Der Thread-Sensor meldet die Bewegung an die Zentrale, die Zentrale schaltet das Licht, und es ist kein Server eines Herstellers (und damit auch kein PHP) beteiligt. Sensoren von Aqara<\/strong><\/a> und Eve<\/strong><\/a> funktionieren so, und mit einer Steckdose oder einem T\u00fcrsensor dazu richtest Du dieselbe Routine f\u00fcr den Rest des Hauses ein.<\/p>\n\n\n\r\nWo das Risiko wirklich sitzt: alles, was nach au\u00dfen schaut<\/strong><\/h2>\n\n\n\n
PHP-L\u00fccke und smarte Ger\u00e4te: In zehn Minuten ein gutes St\u00fcck sicherer<\/strong><\/h2>\n\n\n\n
\n
<\/a>\r\n <\/div>\r\n
![\"Eve](\"https:\/\/www.tink.de\/cdn\/503862\/media\/catalog\/product\/e\/v\/eve_door_window_matter__1.jpg\"\r\n)
<\/a>\r\n <\/div>\r\n ![\"Eve](\"https:\/\/www.tink.de\/cdn\/896671\/media\/catalog\/product\/e\/v\/eve_motion_2.jpg\"\r\n)
<\/a>\r\n <\/div>\r\n