In der vorigen Woche sind zwei Sicherheitslücken unter dem Namen „PHP2Shell“ bekannt geworden, die einem erfolgreichen Angreifer auf eine Internetseite ermöglichen, die Kontrolle über den Webserver zu übernehmen. Voraussetzung ist, dass die Programmiersprache PHP auf dem Server läuft. Das ist Schätzungen zufolge bei 70 bis 75 Prozent aller Webserver weltweit der Fall, auf denen hunderte Millionen Websites gehostet sind.

Auch hospicall Rufanlagen sind davon betroffen, allerdings lediglich die System-Steuerzentrale P7 Typ 5 und die Stationszentrale autark P7 Typ 5. Diese nutzen zur Konfiguration einen integrierten Webserver, auf dem PHP installiert ist. Die Rufanlagensteuerung ist jedoch generell nicht gefährdet, wenn sie im Inselbetrieb läuft und ebenfalls nicht, wenn nachgeschaltete Systeme wie DECT-Anlagen oder eine Brandmeldezentrale über serielle Schnittstellen angeschlossen sind.

Aufmerksamkeit erfordert die Nutzung der LAN2-Schnittstelle, die für den Anschluss eines Konfigurations-PCs vorgesehen ist. Eine isolierte Kopplung mit Komponenten, wie etwa einem Alarmserver oder einer SIP-TK-Anlage, ist vollkommen unkritisch, nicht aber eine Anbindung an das Hausnetzwerk oder direkt an das Internet.

Wir raten dringend, die für diese Fälle unbedingt erforderliche und auch in der DIN VDE 0834-1:2026-08 vorgeschriebene Risikoanalyse zu überprüfen und gegebenenfalls zu aktualisieren. Bei diesbezüglichen Unsicherheiten empfehlen wir, die Autarkie der Rufanlage unmittelbar herzustellen.

Seit Bekanntwerden der aktuellen Verwundungsmöglichkeit arbeitet hospicall daran, diese Sicherheitslücke zu schließen. Ein Update der Zentralensoftware wird in Kürze zur Verfügung stehen. Es kann auf dem bislang üblichen Wege eingespielt werden. Wir werden Sie umgehend informieren, sobald es bereitsteht.