Schneider Electric, Siemens, ABB et d'autres fournisseurs industriels ont confirmé une exposition à PHP2Shell dans certains produits, mais les solutions disponibles diffèrent : certains clients disposent de correctifs, tandis que d'autres doivent obtenir des consignes du support ou appliquer des mesures provisoires. Rockwell Automation et Hitachi Energy évaluent toujours leurs produits.
Les vulnérabilités, CVE-2026-109618 et CVE-2026-109619, touchent l'environnement d'exécution PHP et peuvent permettre une exécution de code à distance sans authentification. SecurityWeek rapporte que PHP a publié des versions corrigées, 8.5.12, 8.4.27, 8.3.36 et 8.2.35, le 21 octobre 2026, à la suite d'une fuite en ligne survenue avant la divulgation prévue.
L'activité d'attaque a précédé ces correctifs. Selon SecurityWeek, une première tentative d'exploitation a été observée le 17 octobre, et Cloudflare a ensuite signalé des millions de tentatives. Des articles parus le week-end ont décrit la première exploitation réussie confirmée contre des pots de miel (honeypots), c'est-à-dire des systèmes servant à observer les attaques. Ces éléments concernent des pots de miel ; ils n'établissent pas que les produits industriels cités dans ces avis aient été compromis.
Correctifs et mesures provisoires : des situations contrastées
Selon SecurityWeek, la réponse de Schneider Electric couvre trois produits. Pour EcoStruxure Security Expert, la version corrigée est la 1.48.4.0, disponible via le Customer Care Center de l'entreprise. Les utilisateurs de ProLeiT LINEoptimize, anciennement appelé Plant iT LMS, peuvent obtenir la correction auprès du support ProLeiT. EcoStruxure Control Engineering reste pour l'instant tributaire de mesures d'atténuation.
Chez ABB, l'exposition dépend d'un composant inclus dans certaines livraisons de systèmes d'exécution de fabrication (MES) : DokuWiki, qui fournit les pages d'aide. La solution consiste à mettre à jour les paquets PHP sur les serveurs qui exécutent DokuWiki. La filiale d'ABB B&R a également identifié comme concerné son système de contrôle de procédés APROL, jusqu'à la version R 4.4-65 incluse. Des correctifs étaient attendus les 26 et 29 octobre ; il s'agissait de dates prévues, et non de la confirmation que les versions étaient disponibles.
Johnson Controls a publié des correctifs pour les appareils Illustra de plusieurs gammes, dont Flex4, Pro4, Gen5 et Essentials Gen 4. Pour son produit Visonic PowerManage, la version 5.0.45 contient le correctif.
Le cas de NetModule NRSW de Belden est différent : toutes les versions, y compris la dernière version principale, sont touchées, et une version corrigée est toujours en attente. En attendant, Belden recommande de désactiver son interface web. Les branches macmon 6.x et 7.x de l'entreprise sont également touchées. Un correctif existe pour la 7.x ; les clients utilisant la 6.x ont été invités à passer à une version supérieure.
HMS a mis à disposition une mise à jour du micrologiciel pour les appareils Netbiter. Pour ses services hébergés Talk2M et son serveur de documentation Argos, l'entreprise affirme avoir déjà corrigé ou supprimé les versions vulnérables de PHP. HMS indique n'avoir relevé aucun indicateur de compromission et identifie les produits Anybus comme non concernés.
Wibu-Systems propose également des mises à jour pour l'interface web CodeMeter License Central concernée et ses extensions basées sur PHP.
Siemens lie l'exposition de RUGGEDCOM à PAN-OS
La condition de déploiement est déterminante pour la plateforme d'hébergement d'applications RUGGEDCOM APE1808 de Siemens. Son avis du 23 octobre, SSA-566512, couvre toutes les versions de l'APE1808 équipées de PAN-OS de Palo Alto Networks dans les branches 10.2, 11.1, 11.2, 12.1 et 12.2. Toutes les versions de ces branches PAN-OS sont listées comme vulnérables aux deux failles.
Siemens oriente ces clients vers le support pour les informations sur les correctifs et les mises à jour, ainsi que vers les contournements figurant dans les avis de sécurité amont de Palo Alto Networks.
Son explication technique décrit deux voies menant à une utilisation non sécurisée de la mémoire. Pour CVE-2026-109618, PHP utilise longjmp() pour quitter le contexte courant lorsqu'une erreur de mémoire insuffisante survient. Certains contextes ne gèrent pas correctement cette sortie, laissant la mémoire de la requête non initialisée avant une allocation ; le nettoyage peut alors lire cette mémoire ou y conditionner un branchement.
CVE-2026-109619 concerne un état global susceptible de conserver, ou de retrouver, des références à la mémoire de requête après sa libération. Les requêtes suivantes peuvent lire ces références périmées ou y conditionner un branchement avant la fin de l'initialisation. Siemens indique que plusieurs stratégies peuvent déclencher chacune de ces conditions et mener à une exécution de code à distance.
L'avis attribue à CVE-2026-109618 un score CVSS v3.1 de 9,8 et à CVE-2026-109619 un score de 8,1. Les deux obtiennent 9,2 selon CVSS v4.0. Ces scores décrivent la gravité, indépendamment de l'activité d'attaque observée.
Les produits non concernés ont des périmètres précis
L'avis logiciel distinct, SSA-566435, daté également du 23 octobre, recense les produits dépourvus du composant PHP concerné. Il indique que toutes les versions de CADRA, DFMExpress, HyperLynx, Polarion, QuadView, Simcenter Flomaster, Tecnomatix Plant Simulation et TestWay sont non concernées.
Ce même constat s'applique à Opcenter Connect MOM, Opcenter Execution Core et Opcenter X ; à PADS Pro Essentials, Pro Student Edition, Professional, Professional - XCR, Standard & Standard Plus et Standard - XCR ; ainsi qu'à Teamcenter Active Workspace, Deployment Center, Product Cost Management et Visualization.
Pour Xpedition, les produits nommés sont Designer, Enterprise, Enterprise XCR, IC Packaging et Layout Browser. Ces constats ne valent que pour les produits listés et ne doivent pas être étendus à des familles entières de produits.
Par ailleurs, les examens restent à des stades différents. SecurityWeek rapporte que Rockwell Automation avait confirmé qu'aucun produit concerné ne figurait dans son avis, mais qu'il vérifiait toujours la présence de dépendances PHP vulnérables. Hitachi Energy poursuivait également ses investigations. Moxa, en revanche, avait conclu qu'aucun de ses produits n'était concerné.
