ECHARGE-SA-2026-001: PHP-Schwachstelle „PHP2Shell"
| Veröffentlicht | 22. Oktober 2026 |
| Zuletzt aktualisiert | 22. Oktober 2026 |
| Referenzen | CVE-2026-109618, CVE-2026-109619 |
| Schweregrad | Kritisch (CVSS 4.0 Score 9,2 laut PHP-Projekt) |
| Betroffen | Alle Stationen mit Salia-Steuerung: Standard-Firmware bis 2.4.20, Eichrecht-Firmware bis 2.90.6 sowie die 2.5.0 Betas |
| Status | Behebung in Vorbereitung, Firmware 2.5.0 |
Was passiert ist
Am 21. Oktober 2026 hat das PHP-Projekt zwei Schwachstellen in der PHP-Laufzeitumgebung veröffentlicht, zusammen als „PHP2Shell" bekannt. Eine speziell präparierte Anfrage an eine PHP-Seite kann zur Ausführung von Code auf dem Server führen, ohne Anmeldung. Die Schwachstelle betrifft praktisch jeden Webserver, der PHP ausführt, und wird im Internet gegen öffentliche Webserver aktiv ausgenutzt.
Die Weboberfläche der Salia-Ladestationen läuft auf PHP. Die Schwachstelle ist daher in der Firmware der Stationen enthalten.
Betroffene Produkte
Alle Ladestationen mit Salia-Steuerung, zum Beispiel cPH2, cPP2, cPµ2 und cPP1, in beiden Firmware-Linien:
- Standard-Firmware: jede Version bis einschließlich 2.4.20 sowie die 2.5.0 Beta.
- Eichrecht-Firmware: jede Version bis einschließlich 2.90.6 sowie die 2.5.0 Beta.
Wann eine Station gefährdet ist
Eine Station kann nur von jemandem angegriffen werden, der ihre Weboberfläche über das Netzwerk erreicht.
- Eine Station im Heim- oder Firmennetz hinter einem Router, ohne Port-Weiterleitung, ist aus dem Internet nicht erreichbar. Ein Angreifer bräuchte bereits Zugang zum lokalen Netz.
- Eine Station, deren Weboberfläche über eine Port-Weiterleitung am Router aus dem Internet erreichbar gemacht wurde, ist gefährdet und sollte bis zur Installation der korrigierten Firmware als angreifbar gelten.
- Fernzugriff über ein VPN macht die Station nicht angreifbar.
Die Nutzung der eCharge-App oder einer OCPP-Verbindung zu einem Backend macht die Station nicht aus dem Internet erreichbar. Beide Verbindungen baut die Station selbst nach außen auf.
Sofortmaßnahmen
- Ist die Weboberfläche einer Station aus dem Internet erreichbar, entfernen Sie die Port-Weiterleitung am Router jetzt. Nutzen Sie für den Fernzugriff stattdessen ein VPN.
- Leiten Sie keine Ports zur Station weiter, bis sie die korrigierte Firmware hat.
- Installieren Sie Firmware 2.5.0, sobald sie verfügbar ist, siehe unten.
Behebung
PHP 8.1, die Version in der Stations-Firmware, erhält vom PHP-Projekt keine Releases mehr. Die offizielle Quellcode-Korrektur für PHP 8.1 wird in die Stations-Firmware übernommen. Firmware 2.5.0 wird sie enthalten, für die Standard- und die Eichrecht-Linie. Der Veröffentlichungstermin wird hier ergänzt; die Firmware kann dann über das Firmware-Download-Portal angefordert werden.
Da die Korrektur auf Quellcode-Ebene erfolgt, bleibt die von der Station gemeldete PHP-Version 8.1.34. Die Release Notes der 2.5.0 nennen die enthaltene Korrektur.
Zeitlicher Ablauf
| Datum | Schritt |
|---|---|
| 21. Oktober 2026 | PHP-Projekt veröffentlicht die Schwachstellen und die Quellcode-Korrektur für PHP 8.1 |
| 21. Oktober 2026 | eCharge bestätigt die Betroffenheit der Stations-Firmware und beginnt mit der Behebung |
| 22. Oktober 2026 | Korrektur in die Firmware übernommen, Testbuild und Stationstest gestartet; dieser Hinweis veröffentlicht |
| offen | Firmware 2.5.0 mit der Korrektur veröffentlicht |