PHP2Shell im Active Directory: IT-Service Walter stellt PHP Security Scanner vor und erneuert drei Audit-Werkzeuge
Neuer Scanner findet vergessene PHP-Installationen auf Windows-Servern – Kerberos Audit Analyzer Pro 3.0, NTLM Audit Analyzer 4.0 und GPO Analyzer Pro 5.0 mit geplanten Prüfungen, Forest-Unterstützung und neuen Angriffspfaden
Euskirchen, 01.11.2026 – IT-Service Walter erweitert seine Werkzeugreihe ISW-ADTools für Windows-Administration und IT-Sicherheit. Neu erscheint der ISW PHP Security Scanner, der alle Windows-Server einer Active-Directory-Domäne auf PHP-Installationen, bekannte Schwachstellen und Spuren eines Angriffs prüft. Gleichzeitig erscheinen neue Hauptversionen des Kerberos Audit Analyzer Pro, des NTLM Audit Analyzer und des GPO Analyzer Pro. Alle Werkzeuge laufen vollständig in der Umgebung des Kunden, ohne Cloud-Dienst und ohne Agenten auf den geprüften Systemen.
PHP Security Scanner: Inventur gegen PHP2Shell
Mit PHP2Shell (CVE-2026-109618 und CVE-2026-109619) wurden im Oktober 2026 zwei Lücken im PHP-Kern bekannt, über die sich im ungünstigsten Fall ohne Anmeldung Code auf dem Server ausführen lässt. Betroffen ist jede Betriebsart, die Webanfragen bedient, auch IIS mit FastCGI. Für PHP 8.1 und ältere Versionen gibt es keine Korrektur mehr.
In Windows-Umgebungen ist das Update selten das Problem, sondern die Frage, wo PHP überhaupt läuft. PHP wird häufig von Fachanwendungen mitgebracht, liegt entpackt in einem Ordner oder hängt an einer IIS-Site, die niemand mehr betreut. In der Softwareinventur taucht es nicht auf.
Der ISW PHP Security Scanner prüft alle ausgewählten Server per WinRM und ausschließlich lesend. Er sucht PHP über IIS, Apache, Dienste, laufende Prozesse, die Registry, bekannte Ordner wie XAMPP oder WAMP und eine Dateisuche über alle lokalen Laufwerke. Jede Installation wird nach ihrer Einbindung bewertet: Eine verwundbare Version am Webserver gilt als kritisch, ein vergessener Ordner ohne Einbindung als weniger dringend.
Zu den weiteren Funktionen gehören:
– Abgleich mit der National Vulnerability Database, dem CISA-Katalog aktiv ausgenutzter Schwachstellen und den Supportzeiträumen der PHP-Zweige; die Grunddaten funktionieren auch ohne Internet
– Bestimmung der tatsächlich wirksamen php.ini einschließlich der Zusatzdateien aus PHP_INI_SCAN_DIR, mit Herkunft jeder Einstellung
– Erkennung von neun PHP-Webanwendungen wie WordPress, Nextcloud, Moodle, phpMyAdmin und GLPI samt Version und Schwachstellen sowie Prüfung der Composer-Pakete gegen Packagist
– Meldung riskanter Dateien im Webverzeichnis, etwa phpinfo-Seiten, .env-Dateien, SQL-Sicherungen und .git-Ordner
– Spurensuche in Ereignis 4688, Sysmon und den Protokollen von IIS und Apache sowie nach Webshell-Merkmalen; je Server bewertet der Scanner, ob die Protokollierung für eine belastbare Aussage ausreicht
– Behebungshilfe je Installation mit php.ini-Block, passendem Download und PowerShell-Skript für die IIS-Umstellung
– Verlauf mit Behebungsdauer, befristete Risikoakzeptanz, Berichte als PDF, HTML, CSV und JSON, geplanter Scan und Silent-Modus
Der Scanner verweist bei jedem Befund auf BSI IT-Grundschutz (APP.3.2, APP.3.1, OPS.1.1.3, DER.2.1), NIS2 und die CIS Controls.
Kerberos Audit Analyzer Pro 3.0: neue Angriffspfade und regelmäßige Prüfung
Der Kerberos Audit Analyzer Pro prüft Kerberos-Konfiguration, Delegierung, SPNs, Verschlüsselung und Ticketrichtlinien im Active Directory. Version 3.0 erweitert die Prüfungen um 21 auf insgesamt 60. Neu sind unter anderem die Erkennung von Rechten zum Anlegen oder Übernehmen delegierter verwalteter Dienstkonten (dMSA/BadSuccessor), Schreibrechte auf msDS-KeyCredentialLink (Shadow Credentials), Rechte auf ressourcenbasierte Delegierung, die MachineAccountQuota, Leser von gMSA-Kennwörtern und Konten ohne AES-Schlüssel, die beim Abschalten von RC4 ausfallen würden. Ein eigener Bereich bewertet den Schutz der Tier-0-Konten und die Härtung der Domänencontroller.
Für den Dauerbetrieb bringt Version 3.0 bis zu zehn geplante Prüfungen unter SYSTEM oder einem gMSA, einen Silent-Modus mit Rückgabewerten, ein eigenes Windows-Ereignisprotokoll für die SIEM-Anbindung und den Vergleich mit dem letzten Scan. Neue, verschlechterte und behobene Befunde erscheinen im Dashboard, im Bericht und in der E-Mail.
NTLM Audit Analyzer 4.0: getrennte Zeitpläne für Server und Clients
Der NTLM Audit Analyzer zeigt, wo im Netzwerk noch NTLM und insbesondere NTLMv1 verwendet wird – eine Voraussetzung, um NTLM schrittweise abzuschalten. Version 4.0 führt bis zu zehn geplante Aufgaben mit eigenem Zeitplan, Zeitraum und Systemauswahl ein. Systeme lassen sich frei benennbaren Gruppen wie Server, Clients oder Domänencontroller zuordnen, die beim AD-Import automatisch vergeben werden. Damit können Server und Clients in unterschiedlichen Abständen geprüft werden. Ausgeschaltete Geräte werden nicht als Fehler gewertet, sondern beim nächsten Lauf nachgeholt; Systeme, die zu lange nicht erreichbar waren, meldet das Werkzeug gesondert. Konfiguration und geplante Aufgabe aus Version 3.x werden übernommen.
GPO Analyzer Pro 5.0: ganze Gesamtstrukturen und Maßnahmenplan
Der GPO Analyzer Pro dokumentiert und bewertet Gruppenrichtlinien – von der Inventur über die wirksamen Einstellungen je OU bis zur Prüfung gegen BSI IT-Grundschutz, CIS Benchmarks und NIST SP 800-53. Version 5.0 analysiert erstmals eine ganze Gesamtstruktur mit allen Unterdomänen in einem Durchgang und erkennt GPOs, die in mehreren Domänen gleich gepflegt werden. Die neue Ãœberschneidungsanalyse vergleicht GPOs, die auf dieselbe OU wirken, Einstellung für Einstellung und findet identische, vollständig enthaltene und stark überlappende Richtlinien. Ein priorisierter Maßnahmenplan fasst Sicherheits-, Konflikt-, Altlasten-, Berechtigungs- und Integritätsbefunde zusammen und lässt sich als HTML, PDF und CSV ausgeben. Die Oberfläche ist zweisprachig in Deutsch und Englisch.
Preise und Verfügbarkeit
Alle Werkzeuge sind ab sofort über isw-adtools.de erhältlich, als Standortlizenz ohne Benutzerbegrenzung und ohne Abonnement. Updates innerhalb der Hauptversion sind enthalten. Der PHP Security Scanner, der Kerberos Audit Analyzer Pro 3.0 und der NTLM Audit Analyzer 4.0 kosten jeweils 399,00 Euro, der GPO Analyzer Pro 5.0 kostet 499,00 Euro, jeweils inklusive Mehrwertsteuer. Bestandskunden erhalten das Update auf die neuen Hauptversionen von Kerberos Audit Analyzer und NTLM Audit Analyzer für 149,00 Euro. Kerberos Audit Analyzer Pro, NTLM Audit Analyzer und SMB Security Analyzer sind zusätzlich als Paket für 699,00 Euro erhältlich.
Ãœber IT-Service Walter
IT-Service Walter aus Euskirchen betreut Unternehmen bei Windows-Infrastruktur, IT-Sicherheit und Compliance – von Active Directory, Exchange und PKI über Schwachstellenmanagement bis zur Umsetzung von ISO 27001, BSI IT-Grundschutz und NIS2. Unter der Marke ISW-ADTools entwickelt und vertreibt das Unternehmen 67 Werkzeuge für die Administration und Absicherung von Windows-Umgebungen. Inhaber Jörn Walter schreibt außerdem unter „Der Windows Papst“ auf der-windows-papst.de über Windows-Administration und IT-Sicherheit.
ISW-ADTools: Neuer PHP Security Scanner und neue Hauptversionen für Kerberos-, NTLM- und GPO-Audits hinzugefügt von Presse am
Alle Beiträge von Presse →
