産業機器ベンダー各社、製品への「PHP2Shell」脆弱性の影響を調査

Siemens、Schneider Electric、ABB、Rockwell Automation、Johnson Controlsなどの産業大手が、先ごろ公表された PHP2Shell 脆弱性による自社製品への影響について、顧客向けにアドバイザリーを公開しました。

一部のベンダーは、自社の産業用製品や運用技術（OT）製品が影響を受けると認めています。一方、影響範囲を調査中のベンダーや、製品に影響はないと判断したベンダーもあります。

PHP2Shellは、PHPエンジンに存在する2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619の総称です。いずれも認証なしでリモートコード実行に悪用される恐れがあります。予定されていた公表に先立って情報がネット上に流出したため、PHPは10月21日にバージョン8.5.12、8.4.27、8.3.36、8.2.35で修正しました。

最初の悪用の試みは修正版の公開前の10月17日に確認されており、その後Cloudflareが数百万件の攻撃試行を報告しています。セキュリティ業界は当初、PHP2Shellの悪用成功例を確認していませんでしたが、週末にハニーポットを狙った初の攻撃成功が報告されました。

Schneider Electricは、EcoStruxure Security Expert、ProLeiT LINEoptimize（旧Plant iT LMS）、EcoStruxure Control Engineeringの3製品が影響を受けると判断しました。

Security Expertは、修正版のバージョン1.48.4.0をSchneiderのカスタマーケアセンターから入手できます。LINEoptimizeの修正については、ProLeiTのサポートが対応します。EcoStruxure Control Engineeringのユーザーは、当面は緩和策に頼るしかありません。 

Siemensは、Palo Alto NetworksのPAN-OSバージョン10.2、11.1、11.2、12.1、12.2を搭載したRuggedcom APE1808デバイスが影響を受けると顧客に通知しました。パッチ情報についてはSiemensのサポートに問い合わせ、Palo Alto Networksが提示している回避策を適用するよう案内しています。

Siemensは別のアドバイザリーで、影響を受けないことが確認された製品の一覧も公開しました。CADRA、DFMExpress、HyperLynx、Opcenter、PADS、Polarion、QuadView、Simcenter、Teamcenter、Xpeditionの各製品が含まれます。 

ABBは、ヘルプページの表示に使われるDokuWikiを含む製造実行システム（MES）の納入製品が影響を受けると警告しています。顧客は、DokuWikiをホストするサーバーのPHPパッケージを更新する必要があります。ABB傘下のB&Rは、プロセス制御システムAPROLのR 4.4-65までのバージョンが影響を受けるとしています。パッチは10月26日と10月29日に公開される予定でした。 

Rockwell Automationは、自社製品に脆弱なバージョンのPHPを使用しているものがないか確認しています。同社はアドバイザリーで「本通知の日付時点で、影響を受けることが確認されたRockwell Automation製品はありません」と述べています。

影響を調査中のその他のOTベンダー

Johnson Controlsは、Flex4、Pro4、Gen5、Essentials Gen 4など、Illustra製品群の複数のデバイス向けにパッチを公開しました。Visonic PowerManageはバージョン5.0.45で修正されています。

Beldenは、NetModule NRSWは最新のメインライン版を含む全バージョンが影響を受けると説明しました。修正版は未公開で、当面はWebインターフェースの無効化を推奨しています。macmonもバージョン6.xと7.xが影響を受けます。7.x向けにはパッチが提供されており、6.xのユーザーにはアップグレードが案内されています。

HMS Networksは、Netbiterデバイス向けのファームウェア更新を公開しました。また、Talk2MサービスとArgosのドキュメントサーバーについては、脆弱なバージョンのPHPにパッチを適用または削除済みで、侵害の痕跡は確認されていないとしています。Anybus製品は影響を受けません。

Wibu-Systemsは、CodeMeter License CentralのWebインターフェースと、PHPベースの拡張機能が影響を受けると説明しています。同社は更新版を公開済みです。 

Hitachi Energyは影響を受ける製品がないか調査中です。Moxaは、影響を受ける製品はないと判断しました。