Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Schwachstellen in der PHP-Laufzeitumgebung, CVE-2026-109618 und CVE-2026-109619, die gemeinsam als „PHP2Shell“ bezeichnet werden, veröffentlicht und behoben. PHP ist eine Open-Source-Skriptsprache, die häufig für die Entwicklung von Webanwendungen verwendet wird. Unter bestimmten Speicherbedingungen könnten diese Schwachstellen einem entfernten Angreifer die Ausführung beliebigen Codes auf einem System ermöglichen, auf dem eine betroffene PHP-Version ausgeführt wird. PHP wird in unseren Softwareprodukten, einschließlich PremiumHMI, FactoryTalk Optix, UBIQUITY / FactoryTalk Remote Access und System Manager, nicht verwendet und wurde dort auch nie verwendet. PHP wird außerdem nicht in unseren Embedded-Geräten mit geschlossenen Betriebssystemen eingesetzt, einschließlich WinCE-basierter Produkte wie HMI30/HMI40 sowie Linux-basierter Produkte wie OptixPanel, OptixEdge und den RK2x-Routern. Daher ist die von diesen Schwachstellen betroffene PHP-Komponente in diesen Produkten nicht vorhanden.
Rockwell Automation hat außerdem ein spezielles Security Advisory zu diesen Schwachstellen veröffentlicht, SD1802. Nach dem neuesten Stand wurde für kein Produkt von Rockwell Automation bestätigt, dass es von diesen Schwachstellen betroffen ist.
Das Advisory ist hier verfügbar: SD1802 – PHP2Shell Security Advisory
Allgemeiner werden Informationen zu Sicherheitslücken in Produkten von Rockwell Automation und ASEM stets im Rockwell Automation Security Advisory Portal veröffentlicht.
