Schneider Electric, Siemens, ABB e altri fornitori industriali hanno confermato l'esposizione a PHP2Shell in alcuni prodotti selezionati, ma i rimedi disponibili variano: alcuni clienti hanno già le patch, mentre altri devono rivolgersi al supporto tecnico o adottare misure di mitigazione temporanee. Rockwell Automation e Hitachi Energy stanno ancora valutando i propri prodotti.
Le vulnerabilità, CVE-2026-109618 e CVE-2026-109619, interessano il runtime PHP e possono consentire l'esecuzione di codice da remoto senza autenticazione. SecurityWeek riferisce che PHP ha rilasciato le versioni corrette 8.5.12, 8.4.27, 8.3.36 e 8.2.35 il 21 ottobre 2026, dopo una fuga di notizie online avvenuta prima della divulgazione prevista.
L'attività di attacco ha preceduto quelle correzioni. Secondo SecurityWeek, un tentativo di sfruttamento è stato osservato per la prima volta il 17 ottobre, e Cloudflare ha riferito successivamente di milioni di tentativi. Nel fine settimana sono apparsi resoconti che descrivevano il primo sfruttamento confermato con successo contro gli honeypot, cioè sistemi usati per osservare gli attacchi. Queste evidenze riguardano gli honeypot; non stabiliscono che i prodotti industriali indicati negli avvisi siano stati compromessi.
Dove differiscono patch e misure temporanee
La risposta di Schneider Electric copre tre prodotti, secondo SecurityWeek. Per EcoStruxure Security Expert, la versione corretta è la 1.48.4.0, disponibile tramite il Customer Care Center dell'azienda. Gli utenti di ProLeiT LINEoptimize, precedentemente noto come Plant iT LMS, possono ottenere la correzione dal supporto ProLeiT. Per il momento, EcoStruxure Control Engineering resta subordinato a misure di mitigazione.
Da ABB, l'esposizione dipende da un componente incluso in alcune forniture di Manufacturing Execution System: DokuWiki, che fornisce le pagine di aiuto. Il rimedio consiste nell'aggiornare i pacchetti PHP sui server che eseguono DokuWiki. Anche la controllata ABB B&R ha individuato come interessato il proprio sistema di controllo di processo APROL, fino alla versione R 4.4-65 compresa. Le patch erano attese per il 26 e il 29 ottobre; si trattava di date previste, non della conferma che le versioni fossero già disponibili.
Johnson Controls ha rilasciato patch per i dispositivi Illustra di diverse linee, tra cui Flex4, Pro4, Gen5 ed Essentials Gen 4. Per il prodotto Visonic PowerManage, la versione 5.0.45 contiene la correzione.
Lo stato di NetModule NRSW di Belden è diverso: tutte le versioni, compresa l'ultima release del ramo mainline, sono interessate, e una versione corretta era ancora in attesa. Belden raccomanda di disattivare nel frattempo la relativa interfaccia web. Anche i rami macmon 6.x e 7.x dell'azienda sono interessati. Esiste una patch per la 7.x; ai clienti che usano la 6.x è stato indicato di effettuare l'aggiornamento.
HMS Networks ha reso disponibile un aggiornamento firmware per i dispositivi Netbiter. Per i servizi Talk2M ospitati e per il server di documentazione Argos, l'azienda afferma di aver già applicato le patch o rimosso le versioni PHP vulnerabili. HMS riferisce di non aver trovato indicatori di compromissione e ha individuato i prodotti Anybus come non interessati.
Wibu-Systems ha inoltre messo a disposizione aggiornamenti per l'interfaccia web CodeMeter License Central interessata e per le sue estensioni basate su PHP.
Siemens collega l'esposizione di RUGGEDCOM a PAN-OS
La condizione di distribuzione è determinante per la piattaforma di hosting applicativo RUGGEDCOM APE1808 di Siemens. Il suo avviso del 23 ottobre, SSA-566512 riguarda tutte le versioni di APE1808 con Palo Alto Networks PAN-OS nelle linee di rilascio 10.2, 11.1, 11.2, 12.1 e 12.2. Ogni versione compresa in quelle linee PAN-OS risulta interessata da entrambe le vulnerabilità.
Siemens indirizza questi clienti al supporto per le informazioni su patch e aggiornamenti, e alle soluzioni temporanee (workaround) indicate negli avvisi di sicurezza a monte di Palo Alto Networks.
La spiegazione tecnica descrive due percorsi che portano a un uso non sicuro della memoria. Per CVE-2026-109618, PHP usa longjmp() per abbandonare il contesto corrente quando si verifica un errore di memoria esaurita. Alcuni contesti non gestiscono correttamente quell'uscita, lasciando la memoria della richiesta non inizializzata prima di un'allocazione; la fase di pulizia può quindi leggere quella memoria o basarvi una diramazione.
CVE-2026-109619 riguarda lo stato globale, che può conservare o riacquisire riferimenti alla memoria della richiesta dopo che è stata liberata. Le richieste successive possono leggere quei riferimenti obsoleti, o basarvi una diramazione, prima che l'inizializzazione sia completata. Siemens afferma che più strategie possono innescare ciascuna condizione e portare all'esecuzione di codice da remoto.
L'avviso assegna a CVE-2026-109618 un punteggio CVSS v3.1 di 9,8 e a CVE-2026-109619 un punteggio di 8,1. Entrambe ricevono 9,2 secondo CVSS v4.0. Questi punteggi descrivono la gravità, indipendentemente dall'attività di attacco osservata.
I risultati non interessati hanno confini precisi
Il separato avviso software di Siemens, SSA-566435, anch'esso datato 23 ottobre, individua prodotti privi del componente PHP interessato. Elenca come non interessate tutte le versioni di CADRA, DFMExpress, HyperLynx, Polarion, QuadView, Simcenter Flomaster, Tecnomatix Plant Simulation e TestWay.
La stessa valutazione riguarda Opcenter Connect MOM, Opcenter Execution Core e Opcenter X; PADS Pro Essentials, Pro Student Edition, Professional, Professional - XCR, Standard & Standard Plus e Standard - XCR; e Teamcenter Active Workspace, Deployment Center, Product Cost Management e Visualization.
Per Xpedition, i prodotti indicati sono Designer, Enterprise, Enterprise XCR, IC Packaging e Layout Browser. Queste valutazioni valgono solo per i prodotti elencati e non vanno estese all'intera famiglia di prodotti.
Altrove, le verifiche sono a stadi diversi. SecurityWeek riferisce che Rockwell Automation, alla data del proprio avviso, non aveva confermato prodotti interessati, ma stava ancora verificando la presenza di dipendenze PHP vulnerabili. Anche Hitachi Energy sta indagando. Moxa, al contrario, ha concluso che nessuno dei propri prodotti è interessato.
