Cisco Sicherheitslücke durch PHP2Shell: Welche Produkte betroffen sind und was jetzt zu tun ist

• Cisco hat ein kritisches Security Advisory zu den PHP-Lücken PHP2Shell veröffentlicht und bestätigt bisher Expressway, Expressway Select, Ultra-Reliable Wireless Backhaul und das Duo Access Gateway als betroffen.
• Für das Duo Access Gateway gibt es mit Version 3.2.0 bereits einen Fix, für Expressway ist Version 15.5.21 angekündigt und für URWB nennt Cisco Februar 2027.
• IOS, IOS XE, NX-OS, die Secure Firewalls, ISE, Meraki und Webex sind laut Cisco nicht betroffen, weitere Produkte werden noch geprüft.
• Parallel hat Cisco im Oktober 2026 zahlreiche weitere Sicherheitsupdates für IOS XR, Secure Client, Unified CM, Nexus, UCS und Meraki veröffentlicht.
• Der Fall zeigt, dass PHP-Lücken auch Netzwerk- und Security-Geräte treffen, in denen PHP unsichtbar mitläuft.

Eine Cisco Sicherheitslücke kommt in diesem Oktober selten allein. Nachdem das PHP-Projekt am 21. Oktober 2026 zwei kritische Lücken in PHP geschlossen hat, hat Cisco noch am selben Abend ein eigenes Security Advisory veröffentlicht. Es trägt die Einstufung „Critical“ und wurde inzwischen auf Version 1.5 vom 23. Oktober 2026 aktualisiert. Der Status ist weiterhin „Interim“, die Liste der betroffenen Produkte kann sich also noch ändern.

Die beiden PHP-Lücken CVE-2026-109618 und CVE-2026-109619 werden als PHP2Shell bezeichnet und mit CVSS v4.0 9.2 bewertet. Sie können Angreifern erlauben, ohne Anmeldung Code auf dem Server auszuführen. Was hinter den Lücken steckt und welche PHP-Versionen sie schließen, haben wir in unserer News zum PHP Update vom 21. Oktober zusammengefasst.

Cisco bestätigt mit Stand 23. Oktober 2026 diese Produkte als betroffen:

• Expressway Series und Expressway Select Series: Die Korrektur kommt mit Version 15.5.21, einen Termin nennt Cisco noch nicht. In der Bug-ID CSCwx37062 beschreibt Cisco einen Workaround.
• Ultra-Reliable Wireless Backhaul (URWB): Die Korrektur ist mit Version 27.1.1 für Februar 2027 geplant. Ein Angreifer muss hier als Administrator angemeldet sein, Cisco senkt die Bewertung deshalb auf CVSS 6.6. Auch hier gibt es einen Workaround in der Bug-ID CSCwx37073.
• Duo Access Gateway: Version 3.2.0 schließt die Lücke bereits.

Für Splunk-Produkte gibt es ein eigenes Advisory. Nach Angaben des Cisco PSIRT ist bisher keine böswillige Ausnutzung der Lücken in Cisco Produkten bekannt.

Diese Cisco Produkte werden noch geprüft

Cisco untersucht derzeit unter anderem Catalyst Center (ehemals DNA Center), Catalyst SD-WAN Analytics, Catalyst SD-WAN Portal, Catalyst SD-WAN Validator, SD-AVC, WAN Automation Engine, die Catalyst 1300 Series Switches, Unified Industrial Wireless Software, den ISE Portal Builder, SD-WAN Cloud OnRamp und Smart Software Manager On-Prem. Wer diese Produkte einsetzt, sollte das Advisory in den nächsten Tagen täglich prüfen.

Diese Cisco Produkte sind nicht betroffen

Ausdrücklich nicht betroffen sind laut Cisco unter anderem IOS, IOS XE, IOS XR und NX-OS, Secure Firewall ASA, Secure Firewall Threat Defense und Secure Firewall Management Center, Identity Services Engine (ISE), Catalyst SD-WAN Manager, Duo, Umbrella, Secure Access, alle Meraki Geräte und das Meraki Dashboard sowie Webex. Cisco stellt außerdem klar: Ein Produkt, das im Advisory nicht genannt wird, gilt nach Ciscos Prüfung als nicht betroffen.

Wer UniFi Switches und Access Points per 802.1x an Cisco ISE angebunden hat, muss daher an ISE selbst nichts tun. Nur der ISE Portal Builder ist noch in Prüfung. Wie diese Anbindung aufgebaut ist, zeigt unsere Anleitung UniFi 802.1x mit Cisco ISE konfigurieren.

PHP2Shell ist nicht die einzige Baustelle. Cisco hat im Oktober 2026 zahlreiche weitere Schwachstellen eingeräumt und Updates bereitgestellt:

• Am 21. Oktober 2026: IOS XR, Expressway vor Version X15.5.20, Snort 3 vor Version 3.12.4.0, Cyber Vision vor Version 5.6.0, Secure Firewall Threat Defense, Secure Client vor Version 5.1.20.333 sowie Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME und Unity Connection vor Version 15SU5.
• Am 7. Oktober 2026: Nexus 3000 und 9000 Switches, NX-OS, UCS Software und UCS 6300 Fabric Interconnect, APIC, Cisco License On-Prem, Finesse, Unified CCE, Unified CCX sowie Meraki Campus Gateways, MG, MR, MS, MV und MX.

Bei Expressway kommen damit zwei Themen zusammen: das Oktober-Update auf X15.5.20 und die noch ausstehende Korrektur für PHP2Shell mit Version 15.5.21.

Viele Appliances bringen ein Webinterface mit, und dahinter steckt häufig PHP. Für den Administrator ist das nicht sichtbar, er aktualisiert die Firmware des Herstellers und nicht PHP selbst. Deshalb hängt die Sicherheit solcher Geräte davon ab, wie schnell der Hersteller die korrigierte PHP-Version einbaut.

Das BSI weist in seiner Warnung ausdrücklich darauf hin, dass seit der Veröffentlichung der PHP-Patches immer mehr Hersteller von Netzwerkkomponenten eigene Advisories veröffentlichen. Eine erfolgreiche Ausnutzung in der Breite ist dem BSI bisher nicht bekannt. Cisco ist also nur einer von vielen Herstellern, die nachziehen. Ein vollständiges Bild erhalten Sie nur, wenn Sie alle Hersteller in Ihrer Infrastruktur im Blick behalten.

1. Inventur machen: Erfassen Sie alle Cisco Produkte und deren Softwarestände. Besonders wichtig sind Systeme, die aus dem Internet erreichbar sind.
2. Expressway priorisieren: Prüfen Sie den Workaround aus der Bug-ID und spielen Sie Version 15.5.21 ein, sobald sie verfügbar ist.
3. Duo Access Gateway aktualisieren: Version 3.2.0 steht bereit.
4. Das Advisory beobachten: Der Status „Interim“ bedeutet, dass Cisco weitere Produkte nachtragen kann.
5. Snort-Regeln nutzen: Cisco nennt die Snort-Regeln 67359 und 67360. Wer Snort einsetzt, sollte prüfen, ob sie aktiv sind.
6. Die übrigen Oktober-Updates einspielen: Gleichen Sie Ihre Versionen mit den Advisories vom 7. und 21. Oktober ab.
7. Andere Hersteller prüfen: Firewalls, Speichersysteme, Drucker und Webportale anderer Anbieter können ebenfalls PHP enthalten.

Die Flut an Sicherheitsupdates lässt sich nur noch mit System bewältigen. Wie Sie bekannte Schwachstellen automatisch mit Ihrem eigenen Software-Inventar abgleichen, zeigen wir in unserer News zum Schwachstellenmanagement mit Microsoft 365. Die Grundlage dafür ist Microsoft Defender XDR mit seinem Schwachstellenmanagement für Endgeräte.

Die InSys AG^® ist Microsoft Solutions Partner für Security und begleitet Unternehmen seit 35 Jahren bei Netzwerk und IT-Sicherheit. Einen Überblick über unsere Leistungen finden Sie auf der Seite Microsoft 365 Security und Lizenzen. Sie erreichen uns unter +49 (521) 260105-0 oder über das Kontaktformular unter dieser News.