# ECHARGE-SA-2026-001: PHP-Schwachstelle „PHP2Shell"

| | |
| --- | --- |
| Veröffentlicht | 22. Oktober 2026 |
| Zuletzt aktualisiert | 22. Oktober 2026 |
| Referenzen | CVE-2026-109618, CVE-2026-109619 |
| Schweregrad | Kritisch (CVSS 4.0 Score 9,2 laut PHP-Projekt) |
| Betroffen | Alle Stationen mit Salia-Steuerung: Standard-Firmware bis 2.4.20, Eichrecht-Firmware bis 2.90.6 sowie die 2.5.0 Betas |
| Status | Behebung in Vorbereitung, Firmware 2.5.0 |

## Was passiert ist

Am 21. Oktober 2026 hat das PHP-Projekt zwei Schwachstellen in der
PHP-Laufzeitumgebung veröffentlicht, zusammen als „PHP2Shell" bekannt. Eine
speziell präparierte Anfrage an eine PHP-Seite kann zur Ausführung von Code
auf dem Server führen, ohne Anmeldung. Die Schwachstelle betrifft praktisch
jeden Webserver, der PHP ausführt, und wird im Internet gegen öffentliche
Webserver aktiv ausgenutzt.

Die Weboberfläche der Salia-Ladestationen läuft auf PHP. Die Schwachstelle ist
daher in der Firmware der Stationen enthalten.

## Betroffene Produkte

Alle Ladestationen mit Salia-Steuerung, zum Beispiel cPH2, cPP2, cPµ2 und
cPP1, in beiden Firmware-Linien:

- Standard-Firmware: jede Version bis einschließlich 2.4.20 sowie die 2.5.0
  Beta.
- Eichrecht-Firmware: jede Version bis einschließlich 2.90.6 sowie die 2.5.0
  Beta.

## Wann eine Station gefährdet ist

Eine Station kann nur von jemandem angegriffen werden, der ihre Weboberfläche
über das Netzwerk erreicht.

- Eine Station im Heim- oder Firmennetz hinter einem Router, ohne
  Port-Weiterleitung, ist **aus dem Internet nicht erreichbar**. Ein Angreifer
  bräuchte bereits Zugang zum lokalen Netz.
- Eine Station, deren Weboberfläche über eine **Port-Weiterleitung** am Router
  aus dem Internet erreichbar gemacht wurde, ist gefährdet und sollte bis zur
  Installation der korrigierten Firmware als angreifbar gelten.
- Fernzugriff über ein **VPN** macht die Station nicht angreifbar.

Die Nutzung der eCharge-App oder einer OCPP-Verbindung zu einem Backend macht
die Station nicht aus dem Internet erreichbar. Beide Verbindungen baut die
Station selbst nach außen auf.

## Sofortmaßnahmen

1. Ist die Weboberfläche einer Station aus dem Internet erreichbar, entfernen
   Sie die Port-Weiterleitung am Router jetzt. Nutzen Sie für den Fernzugriff
   stattdessen ein VPN.
2. Leiten Sie keine Ports zur Station weiter, bis sie die korrigierte Firmware
   hat.
3. Installieren Sie Firmware 2.5.0, sobald sie verfügbar ist, siehe unten.

## Behebung

PHP 8.1, die Version in der Stations-Firmware, erhält vom PHP-Projekt keine
Releases mehr. Die offizielle Quellcode-Korrektur für PHP 8.1 wird in die
Stations-Firmware übernommen. Firmware **2.5.0** wird sie enthalten, für die
Standard- und die Eichrecht-Linie. Der Veröffentlichungstermin wird hier
ergänzt; die Firmware kann dann über das
[Firmware-Download-Portal](/de/firmware/download-portal) angefordert werden.

Da die Korrektur auf Quellcode-Ebene erfolgt, bleibt die von der Station
gemeldete PHP-Version 8.1.34. Die Release Notes der 2.5.0 nennen die
enthaltene Korrektur.

## Zeitlicher Ablauf

| Datum | Schritt |
| --- | --- |
| 21. Oktober 2026 | PHP-Projekt veröffentlicht die Schwachstellen und die Quellcode-Korrektur für PHP 8.1 |
| 21. Oktober 2026 | eCharge bestätigt die Betroffenheit der Stations-Firmware und beginnt mit der Behebung |
| 22. Oktober 2026 | Korrektur in die Firmware übernommen, Testbuild und Stationstest gestartet; dieser Hinweis veröffentlicht |
| offen | Firmware 2.5.0 mit der Korrektur veröffentlicht |