Il 21 ottobre 2026, il progetto PHP ha reso note e corretto due vulnerabilità critiche nel runtime PHP, CVE-2026-109618 e CVE-2026-109619, indicate congiuntamente come “PHP2Shell”. PHP è un linguaggio di scripting open source comunemente utilizzato per sviluppare applicazioni web. In determinate condizioni di memoria, queste vulnerabilità potrebbero consentire a un attaccante remoto di eseguire codice arbitrario su un sistema che utilizza una versione di PHP interessata. PHP non è utilizzato e non è mai stato utilizzato nei nostri prodotti software, inclusi PremiumHMI, FactoryTalk Optix, UBIQUITY / FactoryTalk Remote Access e System Manager. PHP non è inoltre utilizzato nei nostri dispositivi embedded basati su sistemi operativi chiusi, inclusi i prodotti basati su WinCE come HMI30/HMI40 e i prodotti basati su Linux come OptixPanel, OptixEdge e i router RK2x. Pertanto, il componente PHP interessato da queste vulnerabilità non è presente in questi prodotti.
Rockwell Automation ha inoltre pubblicato uno specifico Security Advisory relativo a queste vulnerabilità, SD1802. In base all’ultimo aggiornamento, nessun prodotto Rockwell Automation è stato confermato come affetto.
L’advisory è disponibile qui: SD1802 – PHP2Shell Security Advisory
Più in generale, le informazioni relative alle vulnerabilità di sicurezza dei prodotti Rockwell Automation e ASEM sono sempre pubblicate sul Rockwell Automation Security Advisory Portal
