PHP2Shell: Stand der beroNet-Produkte und -Dienste
Veröffentlicht
Stand: 6. November 2026: Die Gateway-Firmware 24.01.03 mit der Korrektur ist verfügbar.
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in der Skriptsprache PHP veröffentlicht, bekannt als PHP2Shell (CVE-2026-109618 und CVE-2026-109619, PHP-Advisory GHSA-w8hw-w9fx-j79w). Ein präparierter HTTP-Request kann PHP in einen Speichermangel treiben und in manchen Konfigurationen ohne Anmeldung Code auf dem Server ausführen. Die Lücken werden aktiv ausgenutzt, das BSI hat davor gewarnt.
PHP steckt in der beroNet-Website, in der beroCloud und in der Weboberfläche unserer Gateways. Hier steht, was wir getan haben, wo wir stehen und was Sie tun sollten.
Auf einen Blick
| Bereich | Stand |
|---|---|
| Website www.beronet.com | Erledigt. Am 21. Oktober auf eine Plattform ohne PHP umgezogen |
| beroCloud | Erledigt. Am 22. Oktober auf eine neue, gepatchte Plattform umgezogen |
| beroNet vSBC (von beroNet betriebene Systeme) | Erledigt. Gepatchtes PHP am 21. Oktober eingespielt |
| beroNet-Gateways | Update verfügbar. Firmware 24.01.03, veröffentlicht am 6. November. Gateways mit älterer Firmware brauchen das Update auf 24.01 |
Website: Umzug und Upgrade
Unsere bisherige Website lief auf WordPress mit einer älteren PHP-Version, für die es keine Korrektur mehr gibt. Am 21. Oktober haben wir PHP auf diesem Server abgeschaltet und www.beronet.com noch am selben Abend auf die neue Plattform umgezogen: eine statische Website, ausgeliefert über ein Content-Delivery-Netzwerk. Die neue Website kommt ohne PHP, ohne Datenbank und ganz ohne serverseitigen Code aus. Der alte Server ist vom Netz.
Firmware-Images, Tools und Datenblätter liegen weiter unter den gewohnten Adressen. Gateways, die Updates oder Recovery-Dateien von unserem Server laden, funktionieren wie bisher.
beroCloud: Umzug und Upgrade
Den Umzug der beroCloud auf eine neue Plattform hatten wir für November geplant und vorbereitet. Wegen PHP2Shell haben wir ihn vorgezogen: In der Nacht auf den 22. Oktober 2026 ist die beroCloud umgezogen, auf einen neuen Server in einem Rechenzentrum in Deutschland, mit aktuellem Betriebssystem und einer PHP-Version, die die Korrektur enthält. Die Unterbrechung dauerte rund 25 Minuten.
- An Ihren Gateways müssen Sie nichts tun. Die Geräte haben die beroCloud unter derselben Adresse von selbst gefunden; Zugangsdaten, Geräte, Konfigurationen und Sicherungen sind unverändert.
- PHP auf dem bisherigen System ist seit der Nacht des Umzugs gesperrt und aus dem Internet nicht mehr erreichbar. Bei unserer Prüfung des bisherigen Systems haben wir keine Hinweise auf eine Kompromittierung gefunden.
- Bei einigen wenigen Gateways ist die alte Serveradresse fest eingetragen. Diese Kunden sprechen wir direkt an.
beroNet vSBC
Auf den von beroNet betriebenen Systemen haben wir den virtuellen SBC am 21. Oktober auf die
korrigierte PHP-Version gebracht; neue Installations-Images enthalten sie. Wenn Sie einen vSBC
auf einer eigenen virtuellen Maschine betreiben, spielen Sie bitte die aktuellen
Betriebssystem-Updates ein (unter Ubuntu: apt update && apt upgrade), die die korrigierten
PHP-Pakete enthalten.
beroNet-Gateways: durch das bekannte Angriffsszenario nicht gefährdet
Auch die Weboberfläche unserer Gateways nutzt PHP, und zwar eine ältere Version, für die das PHP-Projekt keine Updates mehr liefert. Deshalb haben wir das Problem in unserer eigenen Firmware behoben (siehe nächster Abschnitt). Nach unserer bisherigen Analyse sind Gateways, die wie empfohlen installiert sind, durch das heute bekannte Angriffsszenario nicht gefährdet:
- Anderer PHP-Betriebsmodus. Auf den Gateways läuft PHP als CGI: Jeder Request startet einen frischen, kurzlebigen Prozess, der mit dem Request endet. Der im Advisory bestätigte Exploit zielt auf einen anderen Modus (Apache mod_php), in dem PHP-Prozesse viele Requests nacheinander bedienen. Einen Exploit gegen CGI nennt das Advisory nicht, und uns ist keiner bekannt.
- Hoher Angriffsaufwand. Das Advisory selbst stuft die Angriffskomplexität als hoch ein. Ein Angreifer braucht direkten Zugang zur Weboberfläche des Gateways und viele Versuche.
- Die Weboberfläche gehört nicht ins Internet. Gateways stehen üblicherweise im internen oder im Management-Netz hinter einer Firewall. Eine Weboberfläche, die aus dem Internet nicht erreichbar ist, lässt sich von dort auch nicht angreifen.
- Keine bekannten Vorfälle. Uns liegen keine Meldungen über Angriffe auf beroNet-Gateways über PHP2Shell vor.
Diese Einschätzung gilt für Gateways, deren Weboberfläche nicht aus dem Internet erreichbar ist. Ist Ihre erreichbar, setzen Sie die Empfehlungen unten bitte jetzt um und spielen Sie die Firmware 24.01.03 ein. Eine Weboberfläche im Internet ist ohnehin keine gute Idee, mit oder ohne PHP2Shell: Ein Gateway ist ein Embedded-Gerät, und eine deutlich größere Maschine kann es mit einer Flut von Requests (DDoS) leicht überlasten und lahmlegen.
Sicherheitsupdate für die Gateways: Firmware 24.01.03
Am 6. November 2026 haben wir die Firmware 24.01.03 für unsere Gateways veröffentlicht. Sie schließt die PHP2Shell-Lücke auf den Gateways und behebt weitere Sicherheitsthemen in der Weboberfläche und in der beroCloud-Anbindung. Wir empfehlen das Update für alle Gateways.
Das Update:
- beendet einen Request bei Speichermangel sofort und sicher, statt mit beschädigtem Speicher weiterzuarbeiten. Diesen Weg geht auch die offizielle PHP-Korrektur.
- nimmt Datei-Uploads nur noch von angemeldeten Benutzern an und setzt enge Grenzen für Größe und Aufbau eines Requests, sodass übergroße oder fehlerhafte Requests abgewiesen werden, bevor PHP sie verarbeitet.
- verlangt für weitere Teile der Weboberfläche eine Anmeldung und härtet den Webserver und die beroCloud-Anbindung.
So aktualisieren Sie:
- Download: appfs-24.01.03.tar.gz
- Release-Notes mit allen Änderungen und Update-Hinweisen (englisch): Changelog beroNet OS (Gateways)
- Gateways mit 24.01.01 oder 24.01.02 lassen sich direkt aktualisieren, über das Firmware-Update der Weboberfläche oder über die beroCloud. Die Konfiguration bleibt erhalten, das Gateway startet einmal neu.
- Für ältere Firmware-Stände (20.x, 21.x, 23.x) gibt es keinen eigenen Patch. Diese Gateways müssen auf 24.01 aktualisiert werden. Bitte beachten Sie die Hinweise zum Update-Weg in den Release-Notes oder wenden Sie sich an unseren Support.
- Wenn Sie Zusatz-Apps mit eigenen Shell-Skripten als Webseiten nutzen, sprechen Sie bitte vor dem Update mit unserem Support (siehe Release-Notes).
- Nach dem Update von 23.01 oder älter die Zeitzone prüfen. Dabei kann die eingestellte Zeitzone verloren gehen, das Gateway läuft dann in UTC (Uhrzeiten in Logs, CDR und CLIP; zeitabhängiges Routing ist nicht betroffen). Unter Einstellungen > Zeit die Zeitzone und den Zeitzonen-Modus wählen, speichern und aktivieren; danach bleibt die Einstellung erhalten. Bei manueller Zeit (GMT-Versatz), ohne Zeitquelle oder mit Zeit über ISDN hält das nicht; bitte auf die Zeitzonen-Einstellung umstellen. Eine Korrektur folgt mit einem der nächsten Updates.
Was Sie jetzt tun sollten
Unabhängig von PHP2Shell sind diese Maßnahmen für jedes Gerät im Netz gute Praxis:
- Weboberfläche (HTTP/HTTPS) und SSH nicht ins Internet freigeben. Entfernen Sie Portweiterleitungen und Firewall-Regeln, die das Gateway von außen erreichbar machen.
- Für den Fernzugriff ein VPN nutzen oder eine Firewall-Regel, die nur bekannte Absenderadressen zulässt. Für Überwachung, Updates und Konfiguration steht die beroCloud bereit: Das Gerät baut nur eine ausgehende Verbindung auf, ein eingehender Port ist nicht nötig.
- Die Management-Schnittstelle in ein eigenes Netz legen (Management-VLAN), erreichbar nur für die Personen, die das Gerät verwalten.
- Starke, individuelle Passwörter für alle Konten auf dem Gerät verwenden und Standardpasswörter ändern.
- Die Firmware 24.01.03 einspielen. Über die beroCloud verwaltete Gateways lassen sich dort aktualisieren.
Fragen und Meldungen
Bei Fragen zu Ihrer Installation wenden Sie sich bitte an unseren Support. Sicherheitsmeldungen bitte an security@beronet.com.