Schneider Electric heeft zijn securitybulletin SESB-2026-295-01 over de PHP-kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 ("PHP2Shell") op 30 oktober 2026 bijgewerkt naar versie 3.2.0. Volgens het bulletin zijn onder meer EcoStruxure Security Expert Web Client (vóór versie 1.48.4.0) en EcoStruxure Control Engineering getroffen.
Kernfeiten
- Volgens Schneider Electric bracht het PHP-project op 21 oktober 2026 beveiligingsupdates uit voor twee kritieke kwetsbaarheden in de PHP-runtime, CVE-2026-109618 en CVE-2026-109619, elk met CVSS v4.0-score 9.2. Misbruik kan een niet-geauthenticeerde aanvaller op afstand willekeurige code laten uitvoeren. (bron: Schneider Electric)
- Getroffen volgens het bulletin: EcoStruxure Control Engineering (alle versies), EcoStruxure Foxboro DCS H90 Server HPE ProLiant GEN9 (Windows Server 2016), EcoStruxure Security Expert Web Client (alle versies vóór 1.48.4.0) en ProLeiT LINEoptimize (alle versies). (bron: Schneider Electric)
- EcoStruxure Security Expert Web Client: versie 1.48.4.0 bevat de fix en is verkrijgbaar via het Customer Care Center van Schneider Electric. (bron: Schneider Electric)
- Foxboro DCS H90 Server: als mitigatie in firewalls controleren dat TCP-poorten 2301 en 2381 (HPE System Management Homepage) geblokkeerd zijn. Voor EcoStruxure Control Engineering en LINEoptimize is een remediatie beschikbaar via de support van de fabrikant. (bron: Schneider Electric)
- Versie 3.2.0 van 30 oktober 2026 meldt geen extra getroffen producten en geen wijziging in mitigatie of remediatie. Schneider Electric adviseert onder meer systemen niet vanaf internet bereikbaar te maken en voor toegang op afstand VPN te gebruiken. (bron: Schneider Electric)
Welke versie van EcoStruxure Security Expert verhelpt PHP2Shell?
Volgens Schneider Electric bevat versie 1.48.4.0 van EcoStruxure Security Expert Web Client de fix; die is verkrijgbaar via het Customer Care Center van Schneider Electric.
Bron
Datum bron: 30 oktober 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).