PHP-sicherheitslücke:
was sie für KNX-anlagen heißt.

das wichtigste in 30 sekunden

• Was ist passiert? Zwei kritische Lücken in PHP erlauben es Angreifern, ohne Anmeldung Code auf einem Server auszuführen. Updates sind verfügbar.
• KNX-Geräte: Aktoren, Taster, Sensoren und der KNX-Bus selbst nutzen kein PHP. Sie sind nicht betroffen.
• Server und Visualisierungen: Systeme mit Weboberfläche können PHP nutzen. Hier gilt: Updates einspielen, Herstellerhinweise beachten.
• Entscheidend ist der Zugang: Eine Anlage, die nicht direkt aus dem Internet erreichbar ist, bietet Angreifern kaum Angriffsfläche.

was ist PHP2Shell?

PHP ist eine Programmiersprache, mit der Webseiten und Weboberflächen auf Servern laufen. Die beiden Lücken (CVE-2026-109618 und CVE-2026-109619) erlauben es Angreifern, aus der Ferne eigenen Code auf einem Server auszuführen, ohne Passwort. Das BSI hat die Warnstufe 3 (Orange) ausgerufen, die zweithöchste Stufe.

Geschlossen sind die Lücken in den PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 8.1 und ältere Versionen liefert das PHP-Projekt selbst keine Updates mehr, einzelne Linux-Distributionen und Anbieter mit Langzeitpflege können aber nachliefern.

Gut zu wissen: Für Smartphones, Tablets und normale PCs ist kein Update nötig. Betroffen sind Server und Geräte, auf denen PHP läuft.

sind KNX-geräte betroffen?

Nein. KNX-Aktoren, Taster, Präsenzmelder oder Heizungsaktoren kommunizieren über die grüne Busleitung mit KNX-Telegrammen. Sie haben keinen Webserver und kein PHP an Bord. Die Lücke kann sie nicht erreichen.

Anders sieht es bei Geräten aus, die eine Weboberfläche haben:

• Visualisierungs- und Logikserver, besonders selbst aufgesetzte Lösungen auf Raspberry Pi, NAS oder Linux-Servern. Bei Open-Source-Visualisierungen lohnt ein Blick auf die Projektseite, ob ein Update bereitsteht.
• NAS-Systeme, Router und Firewalls, deren Weboberfläche auf PHP basiert.
• Herstellerserver: Ob ein konkretes Gerät PHP nutzt, kann verbindlich nur der Hersteller sagen. Halten Sie die Firmware aktuell und achten Sie auf Sicherheitshinweise.

sollte ich meine anlage prüfen lassen?

Ein kurzer Check ist sinnvoll, wenn Sie eine dieser Fragen mit „Ja“ oder „Weiß nicht“ beantworten:

• Läuft ein Visualisierungs- oder Logikserver, der seit Jahren kein Update bekommen hat?
• Ist die Anlage über eine Portfreigabe im Router von außen erreichbar?
• Läuft eine selbst gebaute Lösung mit einer alten PHP-Version?
• Wissen Sie nicht genau, wer zuletzt Zugang zur Anlage eingerichtet hat?

Wichtig: Ein Update schließt die Lücke, entfernt aber keine Schadsoftware, die vorher schon eingeschleust wurde. Wer einen ungeschützten, veralteten Server betreibt, sollte ihn deshalb auch prüfen lassen.

5 regeln für sichere KNX-server

1. Keine offenen Ports. KNX-IP-Schnittstellen und Server gehören nicht direkt ins Internet. Die KNX Association rät ausdrücklich davon ab.
2. Fernzugriff nur per VPN. Ein VPN-Tunnel, also eine verschlüsselte Verbindung ins Heimnetz, ist der empfohlene Weg, um von unterwegs auf die Anlage zuzugreifen.
3. Updates einspielen. Firmware von Server, Router und NAS regelmäßig aktualisieren. Geräte ohne Updates ersetzen.
4. Netz trennen. Gebäudetechnik in einem eigenen Netzbereich (VLAN) betreiben, getrennt vom Gäste-WLAN und von Spielkonsolen.
5. KNX Secure nutzen. Bei Neuanlagen und Erweiterungen auf KNX-Secure-Geräte setzen und das ETS-Projekt mit Passwort sichern.

KNX, apple, google oder shelly: wo liegen die unterschiede?

Alle großen Systeme nehmen Sicherheit ernst. Der Unterschied liegt in der Architektur:

Was KNX auszeichnet:

• Kleine Angriffsfläche: Lichtschalter und Jalousieaktoren hängen nicht im WLAN. Ins Heimnetz ragt nur die IP-Schnittstelle oder der Server, und dieser eine Punkt lässt sich gezielt absichern.
• Unabhängig von Clouds: Eine KNX-Anlage funktioniert auch dann, wenn das Internet ausfällt oder ein Anbieter einen Dienst abschaltet. Ein Beispiel: Ältere Nest-Thermostate von Google lassen sich seit Oktober 2025 nicht mehr per App steuern.
• Verschlüsselung nach Norm: KNX Secure verschlüsselt mit AES-128 nach EN 50090-3-4, im IP-Netz ebenso wie direkt auf dem Bus.
• Langlebigkeit: KNX ist ein offener Standard. Geräte verschiedener Hersteller arbeiten zusammen und lassen sich über Jahrzehnte austauschen.

Zur Einordnung: Apple Home verschlüsselt Ende-zu-Ende und verarbeitet viel lokal. Auch Shelly schließt gemeldete Lücken per Firmware-Update. Der Unterschied: Jedes WLAN-Gerät ist ein eigener Netzwerkteilnehmer, dessen Firmware gepflegt werden muss. Bei KNX konzentriert sich diese Aufgabe auf wenige, klar definierte Punkte.

häufige fragen

ihr ansprechpartner in siegen

Gerhards Elektrotechnik plant, betreut und prüft KNX-Anlagen in Wohn- und Gewerbegebäuden. Auf Wunsch sehen wir uns Server, Visualisierung, Fernzugriff und Netzwerktrennung Ihrer Anlage an und sagen Ihnen klar, ob Handlungsbedarf besteht.