PHP2Shell: Wichtige Sicherheitshinweise für QNAP NAS und MOBOTIX NAS in Verbindung mit MxManagementCenter
Sicherheitsinformation | 23. Oktober 2026
Im Zusammenhang mit den kürzlich bekannt gewordenen kritischen PHP2Shell-Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) informiert MOBOTIX über mögliche Auswirkungen auf NAS-Aufzeichnungssysteme, die in Verbindung mit dem MxManagementCenter (MxMC) eingesetzt werden.
Die Sicherheitslücken betreffen unter anderem das Betriebssystem QNAP QTS, das sowohl auf verschiedenen QNAP NAS-Systemen als auch auf dem ursprünglich von MOBOTIX angebotenen NAS-Aufzeichnungssystem (MOBOTIX NAS) zum Einsatz kommt.
QNAP hat hierzu am 22. Oktober 2026 die Sicherheitsmitteilung QSA-26-18 veröffentlicht. Darin werden die betroffenen Softwareversionen sowie empfohlene Schutzmaßnahmen beschrieben.
Die PHP2Shell-Sicherheitslücken werden als kritisch eingestuft und können unter bestimmten Bedingungen die Ausführung von Schadcode ohne vorherige Authentifizierung ermöglichen.
1. Kunden mit QNAP NAS als Aufzeichnungsgerät für MxManagementCenter
Kunden, die ein QNAP NAS mit QVR Pro oder als Fileserver zur Aufzeichnung von MOBOTIX Kameras einsetzen, sollten die aktuellen Sicherheitshinweise von QNAP beachten.
Laut QNAP sind unter anderem folgende Betriebssystemversionen betroffen:
-
QTS 6.1.0
-
QTS 5.2.11 und frühere Versionen
-
Verschiedene Versionen von QuTS hero und weiteren QNAP-Produkten
Die Aufzeichnungssoftware QVR Pro wird in der aktuellen QNAP-Sicherheitsmitteilung nicht ausdrücklich als betroffenes Produkt aufgeführt. Da QVR Pro jedoch auf dem QNAP-Betriebssystem ausgeführt wird, können entsprechende NAS-Systeme dennoch über das zugrunde liegende Betriebssystem betroffen sein.
MOBOTIX empfiehlt daher allen Kunden, die installierte QNAP-Betriebssystemversion zu überprüfen und die Sicherheitshinweise sowie verfügbaren Softwareupdates von QNAP regelmäßig zu kontrollieren.
Offizielle QNAP-Sicherheitsmitteilung:
QNAP Security Advisory QSA-26-18 – PHP2Shell
2. Kunden mit einem ursprünglichen MOBOTIX NAS
Das MOBOTIX NAS wurde als OEM-Produkt auf Basis der QNAP-Technologie angeboten und nutzte eine angepasste QTS-Betriebssystemversion sowie die QVR Pro Aufzeichnungssoftware.
Das MOBOTIX NAS wurde bereits 2022 offiziell abgekündigt (End of Life). Seitdem erfolgt keine Weiterentwicklung der ursprünglichen MOBOTIX NAS Software.
Um bestehenden Kunden weiterhin den Zugang zu aktuellen Softwareversionen und Sicherheitsupdates zu ermöglichen, wurde im Oktober 2023 ein kostenfreies Software-Upgrade bereitgestellt.
Dieses Upgrade ermöglicht die Umstellung eines bestehenden MOBOTIX NAS auf ein vollwertiges QNAP NAS mit offizieller QTS- und QVR Pro Software.
MOBOTIX empfiehlt allen Kunden, die noch ein MOBOTIX NAS mit der ursprünglichen MOBOTIX Software betreiben und bisher kein Upgrade durchgeführt haben, diese Umstellung in Abstimmung mit ihrem MOBOTIX Partner vorzunehmen.
Nach der Umstellung können die für das jeweilige NAS-Modell unterstützten QNAP-Softwareversionen und Sicherheitsupdates direkt über QNAP bezogen werden.
Wichtig: Das Upgrade ist nicht rückgängig zu machen. Daher sollten vor der Umstellung die Voraussetzungen geprüft und die erforderlichen Datensicherungen durchgeführt werden.
Ausführliche Informationen und die Upgrade-Anleitung stehen in der MOBOTIX Community zur Verfügung:
MOBOTIX NAS – QNAP Upgrade (Deutsche Anleitung)
Offizielle MOBOTIX NAS Upgrade-Versionshinweise
MOBOTIX – NAS-Lösungen mit QNAP
Nach erfolgtem Upgrade gelten ebenfalls die aktuellen Sicherheitshinweise von QNAP, insbesondere hinsichtlich der PHP2Shell-Sicherheitslücken und der Verfügbarkeit entsprechender Sicherheitsupdates.
3. Empfohlene Schutzmaßnahmen für QNAP- und MOBOTIX NAS-Systeme
Bis zur Bereitstellung entsprechender Sicherheitsupdates empfiehlt QNAP insbesondere folgende Maßnahmen:
-
Keinen direkten Internetzugriff auf das NAS ermöglichen. Bestehende Portweiterleitungen und nicht benötigte UPnP-Funktionen sollten deaktiviert werden.
-
Für den Fernzugriff eine sichere VPN-Verbindung verwenden. NAS-Verwaltungsoberflächen sollten nicht direkt aus dem Internet erreichbar sein.
-
Netzwerkzugriffe auf vertrauenswürdige Geräte und Netzwerke beschränken. Hierzu können entsprechende Firewall-Regeln und Zugriffsbeschränkungen eingerichtet werden.
-
Nicht benötigte Dienste und Anwendungen deaktivieren. Insbesondere zusätzliche Webdienste sollten überprüft und bei Nichtverwendung abgeschaltet werden.
-
Die Sicherheit des Systems regelmäßig überprüfen. QNAP empfiehlt hierzu die Kontrolle der Systemprotokolle sowie den Einsatz der bereitgestellten Sicherheitswerkzeuge.
Diese Maßnahmen können das Risiko reduzieren, beheben jedoch nicht die eigentlichen Sicherheitslücken.
Die vollständigen und jeweils aktuellen Handlungsempfehlungen sind in der offiziellen QNAP-Sicherheitsmitteilung beschrieben:
QNAP – PHP2Shell Sicherheitsinformationen und Schutzmaßnahmen
4. Verfügbarkeit von Sicherheitsupdates
Stand 23. Oktober 2026: QNAP arbeitet an der Behebung der Sicherheitslücken. Entsprechende korrigierte Softwareversionen wurden bisher noch nicht angekündigt.
MOBOTIX empfiehlt daher allen Kunden, die ein QNAP NAS oder ein auf die offizielle QNAP-Software umgestelltes MOBOTIX NAS einsetzen, die QNAP-Sicherheitsmitteilung regelmäßig auf neue Informationen und verfügbare Fix-Versionen zu überprüfen.
Sobald QNAP entsprechende Sicherheitsupdates bereitstellt, sollten diese zeitnah installiert werden.
Dabei ist darauf zu achten, dass die jeweilige Softwareversion vom eingesetzten NAS-Modell unterstützt wird.
Weitere Informationen und Downloads:
QNAP Security Advisory QSA-26-18
QNAP Download Center – Firmware und Softwareupdates
Abschließender Hinweis
MOBOTIX empfiehlt grundsätzlich, Videoaufzeichnungssysteme regelmäßig auf verfügbare Sicherheitsupdates zu überprüfen und die Verwaltungsoberflächen nicht direkt über das Internet zugänglich zu machen.
Die beschriebenen PHP2Shell-Sicherheitslücken betreffen nicht die MxManagementCenter-Software selbst, sondern können das verwendete NAS-Betriebssystem betreffen.
MOBOTIX wird die weitere Entwicklung beobachten und bei neuen relevanten Erkenntnissen entsprechend informieren.