Un groupe de géants de l'industrie et de la technologie opérationnelle (OT), notamment Siemens, Schneider Electric, ABB et Rockwell Automation, a émis des alertes de sécurité urgentes à ses clients concernant l'impact de vulnérabilités connues sous le nom de PHP2Shell sur certains de leurs produits. Ces avertissements surviennent alors que les plateformes numériques font face à des tentatives d'exploitation à grande échelle de ces failles.
Détails techniques de la vulnérabilité
Les vulnérabilités PHP2Shell consistent en deux failles de sécurité portant les identifiants CVE-2026-109618 et CVE-2026-109619, qui sont des défauts critiques dans le moteur du langage PHP. Ces vulnérabilités permettent aux attaquants d'exécuter des commandes à distance (Remote Code Execution) sans nécessiter d'authentification, leur offrant un contrôle potentiel sur les systèmes infectés. La fondation PHP a publié des correctifs le 21 octobre via les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, après la fuite d'informations concernant la vulnérabilité avant son annonce officielle.
Selon des rapports de Cloudflare, des millions de tentatives d'exploitation ont été détectées, les premières tentatives d'intrusion réelles ayant débuté le 17 octobre, avant la publication des correctifs logiciels.
Pourquoi cette nouvelle est-elle importante ?
La gravité de ce développement réside dans le transfert de la menace des environnements informatiques (IT) traditionnels vers les environnements de technologie opérationnelle (OT) qui gèrent les infrastructures critiques. La capacité d'exécuter des commandes logicielles à distance sur des équipements de contrôle industriel signifie que les attaquants pourraient ne pas se contenter de voler des données, mais pourraient être en mesure de manipuler des processus physiques, ce qui pourrait entraîner l'arrêt des lignes de production ou causer des dommages matériels aux équipements. De plus, la dépendance de nombreux systèmes de gestion de la fabrication (MES) et interfaces de contrôle vis-à-vis des paquets PHP en fait une cible directe pour cette vulnérabilité.
Impact de la vulnérabilité sur les principaux fabricants
La réponse des entreprises a varié en fonction de leur évaluation des produits affectés :
- Schneider Electric : A confirmé que trois produits sont affectés : EcoStruxure Security Expert (mise à jour 1.48.4.0 disponible), ProLeiT LINEoptimize et EcoStruxure Control Engineering (qui repose actuellement uniquement sur des mesures d'atténuation).
- Siemens : A signalé que les appareils Ruggedcom APE1808 fonctionnant avec les systèmes Palo Alto Networks PAN-OS sont affectés. En revanche, l'entreprise a confirmé que des produits tels que Teamcenter, Opcenter et Simcenter ne sont pas affectés.
- ABB : A averti que les systèmes d'exécution de fabrication (MES) utilisant DokuWiki pour afficher les pages d'aide sont affectés, tout comme le système de contrôle de processus APROL de la société B&R (filiale d'ABB).
- Belden : A indiqué que toutes les versions de NetModule NRSW sont affectées et a conseillé de désactiver l'interface Web par mesure de précaution jusqu'à la publication d'un correctif.
- Johnson Controls : A publié des correctifs pour les gammes de produits Illustra et Visonic PowerManage.
De son côté, la société Rockwell Automation continue d'effectuer des vérifications pour déterminer l'exposition de ses produits, tandis que d'autres entreprises comme Moxa et HMS Networks (pour les produits Anybus) ont confirmé que leurs systèmes ne sont pas affectés.