Schneider Electric, Siemens, ABB und weitere Industrieanbieter haben eine PHP2Shell-Betroffenheit bei ausgewählten Produkten bestätigt. Die verfügbaren Abhilfemaßnahmen unterscheiden sich jedoch: Manche Kunden haben bereits Patches, andere müssen Support-Hinweise einholen oder vorübergehende Gegenmaßnahmen nutzen. Rockwell Automation und Hitachi Energy prüfen ihre Produkte noch.
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen die PHP-Laufzeitumgebung und können ohne Authentifizierung Remote Code Execution ermöglichen. SecurityWeek berichtet, dass PHP am 21. Oktober 2026 korrigierte Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht hat, nachdem das Problem vor der geplanten Veröffentlichung online durchgesickert war.
Die Angriffsaktivität ging diesen Fixes voraus. Laut SecurityWeek wurde ein Ausnutzungsversuch erstmals am 17. Oktober beobachtet, und Cloudflare meldete anschließend Millionen Versuche. Berichte vom Wochenende beschrieben die erste bestätigte erfolgreiche Ausnutzung gegen Honeypots, also Systeme, die zur Beobachtung von Angriffen eingesetzt werden. Dieser Befund betrifft Honeypots. Er belegt nicht, dass die in diesen Warnmeldungen genannten Industrieprodukte kompromittiert wurden.
Wo Patches und Zwischenlösungen auseinandergehen
Die Reaktion von Schneider Electric umfasst laut SecurityWeek drei Produkte. Für EcoStruxure Security Expert ist die korrigierte Version 1.48.4.0 über das Customer Care Center des Unternehmens erhältlich. Nutzer von ProLeiT LINEoptimize, früher Plant iT LMS genannt, können die Behebung über den Support von ProLeiT erhalten. EcoStruxure Control Engineering ist vorerst weiterhin auf Gegenmaßnahmen angewiesen.
Bei ABB hängt die Betroffenheit von einer Komponente ab, die in bestimmten Lieferungen von Manufacturing Execution Systems enthalten ist: DokuWiki, das Hilfeseiten bereitstellt. Abhilfe schafft ein Update der PHP-Pakete auf den Servern, auf denen DokuWiki läuft. Auch die ABB-Tochter B&R hat ihr Prozessleitsystem APROL bis einschließlich Version R 4.4-65 als betroffen identifiziert. Patches waren für den 26. und den 29. Oktober vorgesehen. Dabei handelte es sich um geplante Termine und nicht um eine Bestätigung, dass Releases bereits verfügbar waren.
Johnson Controls hat Patches für Illustra-Geräte mehrerer Linien veröffentlicht, darunter Flex4, Pro4, Gen5 und Essentials Gen 4. Für das Visonic-PowerManage-Produkt enthält Version 5.0.45 die Korrektur.
Bei Beldens NetModule NRSW ist die Lage anders: Alle Versionen, einschließlich der neuesten Mainline-Version, sind betroffen, und eine korrigierte Version steht noch aus. Belden empfiehlt, bis dahin die Weboberfläche zu deaktivieren. Auch die Zweige macmon 6.x und 7.x des Unternehmens sind betroffen. Für 7.x gibt es einen Patch, Kunden mit 6.x wurden angewiesen, auf eine neuere Version zu aktualisieren.
HMS Networks hat für Netbiter-Geräte ein Firmware-Update bereitgestellt. Für die gehosteten Talk2M-Dienste und den Argos-Dokumentationsserver erklärt das Unternehmen, bereits verwundbare PHP-Versionen gepatcht oder entfernt zu haben. HMS meldet keine Hinweise auf eine Kompromittierung und hat die Anybus-Produkte als nicht betroffen eingestuft.
Wibu-Systems stellt außerdem Updates für die betroffene Weboberfläche von CodeMeter License Central und deren PHP-basierte Erweiterungen bereit.
Siemens verknüpft die RUGGEDCOM-Betroffenheit mit PAN-OS
Die Einsatzbedingung ist für die Application-Hosting-Plattform RUGGEDCOM APE1808 von Siemens entscheidend. Die Warnmeldung vom 23. Oktober, SSA-566512, erfasst alle APE1808-Versionen mit Palo Alto Networks PAN-OS aus den Release-Linien 10.2, 11.1, 11.2, 12.1 und 12.2. Alle Versionen innerhalb dieser PAN-OS-Linien sind für beide Schwachstellen als betroffen aufgeführt.
Siemens verweist diese Kunden für Informationen zu Patches und Updates an den Support und für Workarounds auf die vorgelagerten Sicherheitsmitteilungen von Palo Alto Networks.
Die technische Erläuterung beschreibt zwei Wege zu unsicherer Speichernutzung. Bei CVE-2026-109618 verwendet PHP longjmp(), um den aktuellen Kontext zu verlassen, wenn ein Out-of-Memory-Fehler auftritt. Manche Kontexte behandeln diesen Sprung nicht korrekt, wodurch der Anfragespeicher vor einer Allokation nicht initialisiert bleibt. Die Bereinigung kann diesen Speicher dann lesen oder darauf basierende Verzweigungen auslösen.
CVE-2026-109619 betrifft globalen Zustand, der Referenzen auf Anfragespeicher behalten oder wiedererlangen kann, nachdem dieser freigegeben wurde. Spätere Anfragen können solche veralteten Referenzen lesen oder darauf basierende Verzweigungen auslösen, bevor die Initialisierung abgeschlossen ist. Siemens zufolge können mehrere Strategien jede dieser Bedingungen auslösen und zu Remote Code Execution führen.
Die Warnmeldung vergibt für CVE-2026-109618 einen CVSS-v3.1-Wert von 9,8 und für CVE-2026-109619 einen Wert von 8,1. Unter CVSS v4.0 erhalten beide den Wert 9,2. Diese Werte beschreiben den Schweregrad unabhängig von der beobachteten Angriffsaktivität.
Nicht betroffene Befunde haben klare Grenzen
Die separate Software-Warnmeldung SSA-566435 von Siemens, ebenfalls vom 23. Oktober, nennt Produkte ohne die betroffene PHP-Komponente. Als nicht betroffen aufgeführt sind alle Versionen von CADRA, DFMExpress, HyperLynx, Polarion, QuadView, Simcenter Flomaster, Tecnomatix Plant Simulation und TestWay.
Derselbe Befund erfasst Opcenter Connect MOM, Opcenter Execution Core und Opcenter X, PADS Pro Essentials, Pro Student Edition, Professional, Professional – XCR, Standard & Standard Plus und Standard – XCR sowie Teamcenter Active Workspace, Deployment Center, Product Cost Management und Visualization.
Bei Xpedition sind die genannten Produkte Designer, Enterprise, Enterprise XCR, IC Packaging und Layout Browser. Diese Befunde gelten für die aufgelisteten Produkte und sollten nicht auf ganze Produktfamilien ausgeweitet werden.
Ansonsten befinden sich die Prüfungen in unterschiedlichen Stadien. SecurityWeek berichtet, dass Rockwell Automation zum Zeitpunkt seiner Mitteilung keine betroffenen Produkte bestätigt hatte, aber noch auf verwundbare PHP-Abhängigkeiten prüfte. Auch Hitachi Energy untersucht den Fall noch. Moxa hingegen hat festgestellt, dass keines seiner Produkte betroffen ist.
