PHP2Shell in OT is een nieuwe naam voor twee kritieke PHP-kwetsbaarheden die zich richten op de PHP-engine. Meerdere industriële leveranciers, waaronder partijen met grote OT-omgevingen, hebben inmiddels advisories gedeeld. Daarbij varieert de status per product: sommige vendor heeft onderdelen expliciet bevestigd als kwetsbaar, andere apparaten worden nog beoordeeld of blijken niet geraakt.
Wat dit extra urgent maakt, is dat er al vroeg misbruikpogingen zijn waargenomen, voordat de door de PHP-gemeenschap aangekondigde fixes beschikbaar waren. In sommige meldingen gaat het zelfs om een zeer groot aantal pogingen. Hieronder zetten we de belangrijkste bevindingen en praktische controles op een rij—zodat je snel kunt bepalen waar je infrastructuur geraakt kan zijn.
Wat is PHP2Shell in OT?
PHP2Shell is de verzamelnaam die wordt gebruikt voor CVE-2026-109618 en CVE-2026-109619. Het gaat om kwetsbaarheden in de PHP-engine die kunnen leiden tot ongeauthentiseerde remote code execution. In gewone taal: een aanvaller kan mogelijk code uitvoeren zonder eerst inlog of verificatie te hoeven doorlopen, mits het kwetsbare onderdeel bereikbaar en juist geconfigureerd is.
De kern van de oplossing ligt bij een patch van PHP. PHP heeft de kwetsbaarheden gepatcht op 21 oktober met versies zoals 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Dat geeft teams een concrete kapstok om binnen hun productstack de PHP-componenten te identificeren en te upgraden.
Waarom leveranciers nu met advisories komen
Omdat OT- en industriële producten vaak eigen softwarepakketten draaien—soms met webinterfaces, documentatieportalen of beheercomponenten die op PHP kunnen leunen—moeten vendors bepalen of hun implementaties geraakt worden door de PHP-kwetsbaarheden. Sommige partijen bevestigden dat specifieke producten getroffen zijn; andere geven aan dat ze nog bezig zijn met exposure-onderzoek of dat hun producten geen impact hebben.
In de publieke discussie is ook terug te lezen dat er al vóór de officiële patchdatum misbruikpogingen werden gezien (een eerste exploitpoging werd gemeld op 17 oktober). Later rapporteerde Cloudflare miljoenen pogingen. Eerst waren er volgens de industrie nog geen succesvolle exploits in beeld, maar er kwamen nadere meldingen van aanvallen gericht op honeypots.
Schneider Electric: welke producten mogelijk geraakt zijn
Schneider Electric heeft een aantal producten expliciet genoemd als getroffen. Volgens de advisory gaat het om:
- EcoStruxure Security Expert
- ProLeiT LINEoptimize (voorheen: Plant iT LMS)
- EcoStruxure Control Engineering
Voor EcoStruxure Security Expert wordt een gepatchte versie genoemd: 1.48.4.0. Voor ProLeiT LINEoptimize kan support een remediatie geven voor de betrokken omgeving. Bij EcoStruxure Control Engineering geeft de vendor aan dat klanten in afwachting vooral op mitigaties kunnen vertrouwen totdat een definitieve route duidelijk is.
Siemens: Ruggedcom APE1808 en PAN-OS combinaties
Siemens heeft laten weten dat Ruggedcom APE1808-apparaten geraakt kunnen zijn wanneer ze draaien met PAN-OS versies 10.2, 11.1, 11.2, 12.1 en 12.2 (van Palo Alto Networks). Klanten wordt geadviseerd contact op te nemen met Siemens support voor patchinformatie en daarnaast de workarounds toe te passen die door Palo Alto Networks worden genoemd.
Daarnaast publiceerde Siemens ook een lijst met producten die volgens de eigen beoordeling niet zijn beïnvloed. Daaronder vallen onder andere CADRA, DFMExpress, HyperLynx, Opcenter, PADS, Polarion, QuadView, Simcenter, Teamcenter en Xpedition.
ABB en B&R: aandacht voor MES leveringen en APROL
ABB richtte de waarschuwing op specifieke omstandigheden in OT-omgevingen. Zo waarschuwt ABB voor Manufacturing Execution System (MES)-leveringen waarbij DokuWiki wordt gebruikt om help-pagina’s te tonen. In zo’n scenario is het nodig om de PHP-packages bij te werken op de servers waar DokuWiki draait.
De ABB-dochter B&R meldt daarnaast dat het APROL proces control systeem mogelijk is geraakt bij versies tot en met R 4.4-65. Over patches wordt verwacht dat die op 26 oktober en 29 oktober beschikbaar komen.
Rockwell Automation en Johnson Controls: status en fixes
Rockwell Automation doet onderzoek naar de vraag of een van haar producten leunt op een kwetsbare PHP-versie. In de notice staat dat er op het moment van publicatie nog geen Rockwell Automation-producten zijn bevestigd als getroffen.
Johnson Controls publiceerde wél patches voor meerdere productlijnen. In de melding gaat het onder meer om Illustra productlijnen zoals Flex4, Pro4, Gen5 en Essentials Gen 4. Voor Visonic PowerManage wordt een oplossing genoemd in versie 5.0.45.
Belden, HMS Networks en Wibu-Systems: maatregelen voor webinterfaces en componenten
Belden meldt dat alle versies van NetModule NRSW getroffen zijn, inclusief de meest recente mainline release. Er is nog geen gepatchte versie aangekondigd. Als tijdelijke maatregel raadt Belden aan de webinterface uit te schakelen. Ook de macmon-componenten 6.x en 7.x zouden geraakt zijn: voor 7.x is een patch beschikbaar, terwijl gebruikers van 6.x is geadviseerd te upgraden.
HMS Networks kondigt een firmware-update aan voor Netbiter-apparaten. Verder stelt HMS dat kwetsbare PHP-versies uit Talk2M-services en een Argos-documentatieserver zijn gepatcht of verwijderd. HMS geeft ook aan dat er geen indicatoren van compromittering zijn gevonden. Voor Anybus-producten zou geen impact gelden.
Wibu-Systems meldt dat de webinterface van CodeMeter License Central en de daaraan gekoppelde PHP-gebaseerde extensies getroffen kunnen zijn. Zij hebben updates vrijgegeven.
Andere OT-leveranciers: nog onderzoeken of juist niet geraakt
Niet elke vendor kwam met een “ja, geraakt” of “nee, niet geraakt” conclusie. Zo is Hitachi Energy bezig om te bepalen of producten geraakt zijn, terwijl Moxa aangeeft dat geen van hun producten zijn beïnvloed.
Deze verschillen betekenen voor OT-teams vooral één ding: je kunt niet blind varen op algemene aannames. Je moet per product, per versie en per draaiende softwarestack verifiëren wat er werkelijk in jouw omgeving draait.
Wat je nu moet doen als je OT met PHP draait
Omdat de kwetsbaarheden draaien om PHP-gedrag en omdat impact vaak via webinterfaces of beheercomponenten loopt, kun je gericht starten. Dit is een praktische aanpak die past bij de vendor-meldingen:
- Inventariseer waar PHP draait: webinterfaces, documentatieservers, beheerportalen en componenten zoals DokuWiki.
- Vergelijk versies met de patchlijnen: check of je PHP-omgeving overeenkomt met kwetsbare versies en plan upgrades richting de gepatchte releases.
- Controleer OT-apparaat-specifieke advisories: sommige impact is afhankelijk van productversies of combinaties met andere platformsoftware.
- Pas mitigaties toe waar patches nog niet beschikbaar zijn (bijvoorbeeld het uitschakelen van webinterfaces, zoals Belden adviseert voor NetModule NRSW).
- Let op vroege misbruiksignalen: gezien de miljoenen pogingen en de eerste bevestigde exploitpogingen tegen honeypots is het logisch om logs, edge-verkeer en alarms te bekijken.
Het is daarbij verstandig om ook je aanpak voor soortgelijke kwetsbaarheden te vergelijken. Als je eerder al te maken kreeg met andere exploitketens via componenten in de software supply chain of runtime-omgevingen, kan dat je helpen sneller te schakelen. Zie bijvoorbeeld het artikel over PHP2Shell en andere RCE-risico’s: patch snel voor bredere achtergrond rond urgentie en patchstrategie.
Relatie met andere sandbox- en RCE-incidenten
Hoewel dit artikel specifiek over PHP2Shell gaat, past het in een bredere trend: kwetsbaarheden in runtime-omgevingen en isolatielagen leiden steeds vaker tot concrete exploitpogingen. Als je organisatie ook te maken heeft met dezelfde soort risico’s—zoals sandbox escapes of kwetsbaarheden in onderliggende engines—dan is het nuttig om de update- en patchdiscipline consistent toe te passen.
Een voorbeeld van hoe snel patches nodig kunnen zijn bij andere kwetsbaarheden vind je in Wasmtime sandbox lek: updates voor 2 kritieke CVE’s. Dit is geen OT-OT-equivalent, maar het laat wel zien dat runtime- of isolatieregels in praktijk zeer snel door aanvallers worden getest.
Conclusie: behandel PHP2Shell in OT als patchprioriteit
PHP2Shell in OT gaat over kritieke PHP-kwetsbaarheden die ongeauthentiseerde remote code execution kunnen mogelijk maken. De combinatie van vroege exploitpogingen, grote aantallen pogingen en inmiddels concrete vendor-advisories maakt dit een onderwerp waar OT-teams voortvarend mee moeten handelen.
Begin met inventariseren waar PHP draait in jouw industriële stack, match vervolgens product- en PHP-versies met de vendor-informatie en voer upgrades of mitigaties uit. Heb je nog geen “volledige” dekking via patches? Dan is het uitschakelen van blootgestelde webinterfaces en het volgen van workarounds een logische eerste stap—totdat updates beschikbaar zijn.
Bron: https://www.securityweek.com/industrial-vendors-check-products-for-php2shell-vulnerabilities/
