Schneider Electric, Siemens, ABB y otros proveedores industriales han confirmado la exposición a PHP2Shell en productos concretos, pero las soluciones disponibles difieren: algunos clientes ya tienen parches, mientras que otros deben obtener orientación del soporte técnico o aplicar mitigaciones temporales. Rockwell Automation e Hitachi Energy siguen evaluando sus productos.
Las vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, afectan al entorno de ejecución de PHP y pueden permitir la ejecución remota de código sin autenticación. SecurityWeek informa de que PHP publicó las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el 21 de octubre de 2026, después de una filtración en línea anterior a la divulgación prevista.
La actividad de ataque fue anterior a esas correcciones. Según SecurityWeek, el primer intento de explotación se observó el 17 de octubre, y Cloudflare informó posteriormente de millones de intentos. Informes del fin de semana describieron la primera explotación exitosa confirmada contra honeypots, es decir, sistemas utilizados para observar ataques. Esa evidencia se refiere a honeypots; no demuestra que los productos industriales señalados en estos avisos hayan sido comprometidos.
Dónde difieren los parches y las medidas provisionales
La respuesta de Schneider Electric abarca tres productos, según SecurityWeek. Para EcoStruxure Security Expert, la versión corregida es la 1.48.4.0, disponible a través del Customer Care Center de la compañía. Los usuarios de ProLeiT LINEoptimize, anteriormente llamado Plant iT LMS, pueden obtener la solución del soporte de ProLeiT. EcoStruxure Control Engineering sigue dependiendo, por ahora, de mitigaciones.
En ABB, la exposición depende de un componente incluido en determinadas entregas de sistemas de ejecución de fabricación: DokuWiki, que proporciona las páginas de ayuda. La solución consiste en actualizar los paquetes de PHP en los servidores que ejecutan DokuWiki. La filial de ABB B&R también identificó como afectado su sistema de control de procesos APROL hasta la versión R 4.4-65 inclusive. Se esperaban parches para el 26 y el 29 de octubre, pero eran fechas programadas, no una confirmación de que las versiones ya estuvieran disponibles.
Johnson Controls ha publicado parches para los dispositivos Illustra de varias líneas, entre ellas Flex4, Pro4, Gen5 y Essentials Gen 4. En el caso de su producto Visonic PowerManage, la versión 5.0.45 contiene la corrección.
NetModule NRSW, de Belden, tiene una situación distinta: todas las versiones, incluida la última versión de la rama principal, están afectadas, y la versión corregida aún estaba pendiente. Belden recomienda desactivar mientras tanto su interfaz web. Las ramas 6.x y 7.x de macmon, también de la compañía, están afectadas. Existe un parche para la 7.x, y a los clientes que usan la 6.x se les ha indicado que actualicen.
HMS Networks ha publicado una actualización de firmware para los dispositivos Netbiter. En cuanto a sus servicios alojados Talk2M y su servidor de documentación Argos, la compañía afirma que ya ha parcheado o eliminado las versiones vulnerables de PHP. HMS informó de que no encontró indicadores de compromiso y señaló que los productos Anybus no están afectados.
Wibu-Systems también ofrece actualizaciones para la interfaz web afectada de CodeMeter License Central y para sus extensiones basadas en PHP.
Siemens vincula la exposición de RUGGEDCOM a PAN-OS
La condición de despliegue es clave para la plataforma de alojamiento de aplicaciones RUGGEDCOM APE1808 de Siemens. Su aviso del 23 de octubre, SSA-566512, abarca todas las versiones del APE1808 con Palo Alto Networks PAN-OS en las ramas 10.2, 11.1, 11.2, 12.1 y 12.2. Todas las versiones dentro de esas ramas de PAN-OS aparecen como afectadas por ambas vulnerabilidades.
Siemens remite a estos clientes al soporte técnico para obtener información sobre parches y actualizaciones, y a las medidas alternativas de los avisos de seguridad originales de Palo Alto Networks.
Su explicación técnica describe dos vías hacia el uso inseguro de memoria. En el caso de CVE-2026-109618, PHP usa longjmp() para salir del contexto actual cuando se produce un error de falta de memoria. Algunos contextos no gestionan bien esa salida, lo que deja la memoria de la solicitud sin inicializar antes de una asignación; la limpieza puede entonces leer esa memoria o tomar decisiones según su contenido.
CVE-2026-109619 afecta a un estado global que puede conservar, o recuperar, referencias a memoria de solicitudes ya liberada. Las solicitudes posteriores podrían leer esas referencias obsoletas o tomar decisiones basadas en ellas antes de completarse la inicialización. Siemens afirma que varias estrategias pueden activar cada condición y llevar a la ejecución remota de código.
El aviso asigna a CVE-2026-109618 una puntuación de 9,8 en CVSS v3.1, y a CVE-2026-109619, una de 8,1. Ambas reciben 9,2 en CVSS v4.0. Esas puntuaciones describen la gravedad, con independencia de la actividad de ataque observada.
Los hallazgos no afectados tienen límites específicos
El aviso de software independiente, SSA-566435, también fechado el 23 de octubre, identifica productos sin el componente PHP afectado. Enumera todas las versiones de CADRA, DFMExpress, HyperLynx, Polarion, QuadView, Simcenter Flomaster, Tecnomatix Plant Simulation y TestWay como no afectadas.
El mismo hallazgo cubre Opcenter Connect MOM, Opcenter Execution Core y Opcenter X; PADS Pro Essentials, Pro Student Edition, Professional, Professional - XCR, Standard & Standard Plus y Standard - XCR; y Teamcenter Active Workspace, Deployment Center, Product Cost Management y Visualization.
En el caso de Xpedition, los productos nombrados son Designer, Enterprise, Enterprise XCR, IC Packaging y Layout Browser. Estos hallazgos se aplican a los productos enumerados y no deben extenderse a familias de productos completas.
En otros casos, las revisiones siguen en distintas fases. SecurityWeek informa de que Rockwell Automation había confirmado que no tenía productos afectados en la fecha de su aviso, pero aún comprobaba si existían dependencias de PHP vulnerables. Hitachi Energy también estaba investigando. Moxa, en cambio, había concluido que ninguno de sus productos estaba afectado.
