PHP2Shell v průmyslu: Siemens, Schneider, ABB i Belden hlásí dopady

Po zveřejnění dvou kritických chyb v PHP (CVE-2026-109618 a CVE-2026-109619, obě CVSS 9,2) začali výrobci automatizace vydávat advisories k dopadu na své produkty. Část z nich potvrdila zasažení OT systémů, jiní expozici vyhodnocují. V seznamu jsou routery, MES i nápovědní systémy dodávané se strojem — právě u nich bývá záplata jen na vyžádání u podpory výrobce.

Klíčové parametry

• Schneider Electric: EcoStruxure Security Expert (oprava 1.48.4.0 přes Customer Care), ProLeiT LINEoptimize (dříve Plant iT LMS) a EcoStruxure Control Engineering — u posledního jen mitigace, patch není
• Siemens: Ruggedcom APE1808 s PAN-OS 10.2, 11.1, 11.2, 12.1 a 12.2; firma zároveň zveřejnila seznam nepostižených produktů (Teamcenter, Opcenter, Simcenter, Polarion, PADS, Xpedition)
• ABB a B&R: u ABB zasaženy dodávky MES s DokuWiki pro nápovědu, nutná aktualizace PHP balíčků na serverech; APROL od B&R zasažen do verze R 4.4-65, záplaty avizované na 26. a 29. 10. 2026
• Belden: všechny verze NetModule NRSW včetně poslední mainline, patch není — doporučeno vypnout webové rozhraní; macmon 6.x a 7.x, pro 7.x patch existuje
• HMS Networks a Johnson Controls: firmware pro Netbiter se záplatami v Talk2M a na dokumentačním serveru Argos, bez indikátorů kompromitace; u Johnson Controls Illustra Flex4/Pro4/Gen5/Essentials Gen 4 a Visonic PowerManage 5.0.45
• Rockwell Automation: k datu advisories žádný potvrzený zasažený produkt

Srovnání

U Beldenu patch neexistuje, u Schneideru a B&R se záplaty dostávají přes podporu výrobce — s tím počítejte při plánování servisního zásahu.

Pro správce: Pokud linka obsahuje DokuWiki nápovědu, router NetModule nebo APROL, není to abstraktní CVE v registru, ale konkrétní stroj v hale, který je potřeba dohledat a uzavřít. Projděte seznam dodaných systémů a u každého si poznamenejte, jestli obsahuje administraci postavenou na PHP nebo nápovědu, která na ni spoléhá; u Beldenu je jediná obrana vypnout webové rozhraní. U zákazníka, který si spravuje vlastní IT, se předem domluvte, kdo update provede a kdo za něj odpovídá v dokumentaci stroje. U Siemensu se dá u Teamcenteru, Opcenteru nebo Polarionu doložit, že se jich advisory netýká — nejdřív zjistěte, jestli je produkt vůbec v seznamu, a teprve pak řešte záplatu.